TrojanSpy.Win32.URSNIF.TIABOEBS

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\{random filename}.bin
• %User Temp%\{random filename}.bin1
• %User Temp%\{random filename}.bi1 - contains the list of computer or network resources
• %Application Data%\Microsoft\{string1}{string2}\{string1}{string2}.lnk
  where:
  {string1} = first four letters of a dll file under System directory
  {string2} = last four letters of a dll file under System directory

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Local\Temp unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\Microsoft\{string1}{string2}\{string1}{string2}.exe
  where:
  {string1} = first four letters of a dll file under System directory
  {string2} = last four letters of a dll file under System directory

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Injiziert Code in die folgenden Prozesse:

• explorer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%Application Data%\Microsoft\{string1}{string2}\{string1}{string2}.exe"

Fügt die folgenden Zeilen oder Registrierungseinträge als Teil der eigenen Installationsroutine hinzu:

• HKEY_CURRENT_USER\Software\AppDataLow\Software\Microsoft\{GUID}
  {UID} = "{hex value}"
• HKEY_CURRENT_USER\Software\AppDataLow\Software\Microsoft\{GUID}
  {Value Name} = "{data}"
  where {Value Name} may be any of the following:
  • Main
  • Block
  • Temp
  • Client
  • Ini
  • Keys
  • Scr
  • LastTask
  • LastConfig
  • CrHook
  • OpHook
  • Exec
  • TorClient
  • TorCrc
  • Install
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
  EnableSPDY3_0 = "0"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Vr

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Sfi

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Run

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}\
Config

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer Name
• Digital Certificates
• Cookies
• Keyboard Logs
• Clipboard Logs
• Captured Screenshot
• Email Credentials
• Running processes and services
• Installed device drivers
• Installed Programs
• System Information (Please see notes for more details)
• IP Address
• Credentials from the following:
  
  • Outlook
  • Thunderbird
  • Internet Explorer
• Credentials related to cryptocurrency:
  • electrum-
  • bitcoin
  • multibit-hd
  • bither
  • msigna.
  • Jaxx.
  • JEdudus.
  • armory-
  • veracrypt
  • truecrypt

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• https://{BLOCKED}rsob.com/images/{random path}/{random characters}.{bmp/png}

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• https://{BLOCKED}rsob.com/images/{random path}/{random characters}.{gif/jpeg}