TSPY_BANKR.EA

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen. Wird möglicherweise von anderer Malware eingeschleust. Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Wird möglicherweise von anderer Malware eingeschleust.

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dd80v3 = "{malware EXE path and file name}"

Fügt die folgenden Registrierungsschlüssel hinzu, um sich als Browser Helper Object (BHO) zu installieren:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{A05D3A6A-D401-4402-983E-A54BA8BC2EE2}

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\dd80pp

HKEY_CLASSES_ROOT\dd80.P

HKEY_CLASSES_ROOT\dd80.P\Clsid

HKEY_CLASSES_ROOT\CLSID\{A05D3A6A-D401-4402-983E-A54BA8BC2EE2}

HKEY_CLASSES_ROOT\CLSID\{A05D3A6A-D401-4402-983E-A54BA8BC2EE2}\
InprocServer32

HKEY_CLASSES_ROOT\CLSID\{A05D3A6A-D401-4402-983E-A54BA8BC2EE2}\
ProgID

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CLASSES_ROOT\dd80.P
(default) = "O"

HKEY_CLASSES_ROOT\dd80.P\Clsid
(default) = "{A05D3A6A-D401-4402-983E-A54BA8BC2EE2}"

HKEY_CLASSES_ROOT\CLSID\{A05D3A6A-D401-4402-983E-A54BA8BC2EE2}
(default) = "O"

HKEY_CLASSES_ROOT\CLSID\{A05D3A6A-D401-4402-983E-A54BA8BC2EE2}\
InprocServer32
(default) = "{malware DLL path and file name}"

HKEY_CLASSES_ROOT\CLSID\{A05D3A6A-D401-4402-983E-A54BA8BC2EE2}\
InprocServer32
ThreadingModel = "Apartment"

HKEY_CLASSES_ROOT\CLSID\{A05D3A6A-D401-4402-983E-A54BA8BC2EE2}\
ProgID
(default) = "dd80.P"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{A05D3A6A-D401-4402-983E-A54BA8BC2EE2}
NoExplorer = "1"

Download-Routine

Lädt eine aktualisierte Kopie von sich selbst von folgenden Websites herunter:

• http://up.{BLOCKED}80.kr/dd80s.exe

Datendiebstahl

Greift auf die folgende Site zu, um die eigene Konfigurationsdatei herunterzuladen:

• http://www.{BLOCKED}80.kr/update.php

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://up.{BLOCKED}80.kr//sql.php