TSPY_BANBRA.MUJL

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\sock.txt
• %All Users Profile%\BSystem\ksystem.exe
• %User Temp%\avinquer.txt
• %Application Data%\win64.txt
• %User Temp%\hookmgr.sys (detected as TROJ_GEN.R047C0DFR16)
• %User Temp%\chaves.txt
• %User Temp%\data.xml (contains scheduled task xml format)
• %User Temp%\data2.xml (contains scheduled task file)
• %User Temp%\modelo.txt (contains list of folders to delete)
• %Program Files%\{random file name 1}.txt (contains list of folders to delete)

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Schleust die folgenden Dateien ein und führt sie aus:

• %System Root%\cleanup.bat (executed to remove traces of Avenger-related-files file-execution)
• %System Root%\cleanup.exe (executes cleanup.bat and avenger.txt at %root drive%)
• %User Temp%\mod.bat (executes mod.exe to load modelo.txt)

(Hinweis: %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust folgende nicht bösartige Datei ein:

• %System%\drivers\{random file name 2}.sys (part of Avenger by swandog)
• %System Root%\zip.exe
• %User Temp%\mod.exe (part of Avenger by swandog)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Autostart-Technik

Erstellt folgende Registrierungseinträge, um die eingeschleuste Komponente bei jedem Systemstart automatisch auszuführen:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
Cleanup = "%System Root%\cleanup.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\hookmgr
ImagePath = "\??\%User Temp%\hookmgr.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{random service name 1}
ImagePath = "system32\drivers\{random file name 2}.sys"

Registriert die eigene eingeschleuste Komponente als Systemdienst, um zu gewährleisten, dass diese bei jedem Systemstart automatisch ausgeführt wird. Erstellt dafür die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{random service name 1}
ImagePath = "system32\drivers\{random file name 2}.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{random service name 1}
Start = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{random service name 1}
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{random service name 1}
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{random service name 1}
{random characters} = "\??\%Program Files%\{random file name 1}.txt"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{random service name 1}
{random characters} = "%Windows%"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{random service name 1}
{random characters} = "{random characters}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\hookmgr
ImagePath = "\??\%User Temp%\hookmgr.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\hookmgr
Type = "{random characters}" =

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\hookmgr
Type = "{random characters}" =

Prozessbeendigung

Beendet die folgenden Prozesse, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• notepad.exe
• chrome.exe
• firefox.exe

Datendiebstahl

Folgende Daten werden gesammelt:

• keybordlogs
• clipboardlogs
• computername
• OS Version
• Default Browser
• Plugins
• Installed AV

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}tanadave.com/box/lop.php