TSPY_DYRE.TRS

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen. Wird möglicherweise von anderer Malware von Remote-Sites heruntergeladen:

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware/Grayware/Spyware von externen Sites heruntergeladen:

• http://creazionidarte.it/mandoc/seo21.pdf
• http://scuoladrifting.com/news/seo21.pdf

Wird möglicherweise von der folgender Malware von Remote-Sites heruntergeladen:

• TROJ_UPATRE.MGD

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Windows%\{random file name}.exe (for Windows XP and lower)
• %AppDataLocal%\{random file name}.exe (for Vista and higher)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust die folgenden Dateien ein:

• %System%\config\systemprofile\Application Data\f5e83w4ef.dat (for Windows XP and lower) -contains configuration
• %AppDataLocal%\f5e83w4ef.dat (for Vista and higher) -contains configuration

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\zx5fwtw4ep

Injiziert Code in die folgenden Prozesse:

• explorer.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
ImagePath = "%Windows%\{random file name}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
DisplayName = "Google Update Service"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = "%AppDataLocal%\{random file name}.exe " (for Vista and higher)

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate(for Windows XP and lower)

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer Name
• Public IP Address
• OS Version
• User Name
• OS platform
• Installed programs

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}30.40.51:443
• http://{BLOCKED}.{BLOCKED}30.42.201:443
• http://{BLOCKED}.{BLOCKED}230.77.210:443
• http://{BLOCKED}.{BLOCKED}160.225.97:443
• http://{BLOCKED}.{BLOCKED}25.120.246:443
• http://{BLOCKED}.{BLOCKED}44.72.42:443
• http://{BLOCKED}.{BLOCKED}3.79.145:443
• http://{BLOCKED}.{BLOCKED}11.156.26:443
• http://{BLOCKED}.{BLOCKED}72.184.4:443
• http://{BLOCKED}.{BLOCKED}69.89.161:443
• http://{BLOCKED}.{BLOCKED}85.239.153:443
• http://{BLOCKED}.{BLOCKED}33.116.160:443
• http://{BLOCKED}.{BLOCKED}33.116.160:4443
• http://{BLOCKED}.{BLOCKED}26.199.80:443
• http://{BLOCKED}.{BLOCKED}90.137.149:443
• http://{BLOCKED}.{BLOCKED}99.48.230:443
• http://{BLOCKED}.{BLOCKED}31.182.254:443

Löscht sich nach der Ausführung selbst.