TSPY_DYRE.YUYCH

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %AppDataLocal%\{random file name}.exe (Vista and higher)
• %Windows%\{random file name}.exe (XP and lower)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Schleust die folgenden Dateien ein:

• %AppDataLocal%\ne9bzef6m8.dll (Vista and higher)
• %System%\config\systemprofile\Application Data\ne9bzef6m8.dll (XP and lower)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Injiziert Code in die folgenden Prozesse:

• explorer.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
ImagePath = "%Windows%\{random file name}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
DisplayName = "Google Update Service"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run (Vista and higher)
GoogleUpdate = "%AppDataLocal%\{random file name}.exe"

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate (XP and lower)

Datendiebstahl

Folgende Daten werden gesammelt:

• User Name
• OS Version
• Public IP Address

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}.{BLOCKED}.0.213.153:443
• {BLOCKED}.{BLOCKED}.31.139.42:4443
• {BLOCKED}.{BLOCKED}.5.38.6:4443
• {BLOCKED}.{BLOCKED}.51.48.173:443
• {BLOCKED}.{BLOCKED}.51.49.20:443
• {BLOCKED}.{BLOCKED}.51.48.96:443
• {BLOCKED}.{BLOCKED}.01.249.122:443
• {BLOCKED}.{BLOCKED}.22.69.167:4443
• {BLOCKED}.{BLOCKED}.22.69.156:4443
• {BLOCKED}.{BLOCKED}.22.69.142:4443
• {BLOCKED}.{BLOCKED}.22.69.138:4443
• {BLOCKED}.{BLOCKED}.22.69.166:4443
• {BLOCKED}.{BLOCKED}.22.69.132:443
• {BLOCKED}.{BLOCKED}.22.69.154:443
• {BLOCKED}.{BLOCKED}.22.69.130:443
• {BLOCKED}.{BLOCKED}.0.181.148:4443
• {BLOCKED}.{BLOCKED}.5.204.113:443
• {BLOCKED}.{BLOCKED}.1.94.165:443
• {BLOCKED}.{BLOCKED}.48.177.67:4443
• {BLOCKED}.{BLOCKED}.48.177.126:443
• {BLOCKED}.{BLOCKED}.48.177.98:443
• {BLOCKED}.{BLOCKED}.48.177.99:443
• {BLOCKED}.{BLOCKED}.48.177.68:443
• {BLOCKED}.{BLOCKED}.2.207.223:443
• {BLOCKED}.{BLOCKED}.94.239.98:4443
• {BLOCKED}.{BLOCKED}.18.73.59:4443
• {BLOCKED}.{BLOCKED}.42.55.58:4443
• {BLOCKED}.{BLOCKED}.75.224.143:4443
• {BLOCKED}.{BLOCKED}.3.216.5:4443
• {BLOCKED}.{BLOCKED}.6.206.42:4443
• {BLOCKED}.{BLOCKED}.81.53.78:443
• {BLOCKED}.{BLOCKED}.7.214.75:443
• {BLOCKED}.{BLOCKED}.195.177.238:4443
• {BLOCKED}.{BLOCKED}.195.189.37:4443
• {BLOCKED}.{BLOCKED}.197.92.164:443
• {BLOCKED}.{BLOCKED}.212.43.38
• {BLOCKED}.{BLOCKED}.197.103.78:443
• {BLOCKED}.{BLOCKED}.36.160.107:443
• {BLOCKED}.{BLOCKED}.217.49.162:443
• {BLOCKED}.{BLOCKED}.31.53.23:443
• {BLOCKED}.{BLOCKED}.19.12.49:443
• {BLOCKED}.{BLOCKED}.231.149.39:4443
• {BLOCKED}.{BLOCKED}.111.255.199:4443
• {BLOCKED}.{BLOCKED}.35.97.185:443
• {BLOCKED}.{BLOCKED}.186.104.250:443
• {BLOCKED}.{BLOCKED}.28.191.222:443
• {BLOCKED}.{BLOCKED}.28.190.26:443
• {BLOCKED}.{BLOCKED}.28.189.92:443
• {BLOCKED}.{BLOCKED}.189.19.156:443
• {BLOCKED}.{BLOCKED}.117.214.40:4443
• {BLOCKED}.{BLOCKED}.28.191.70:443

Löscht sich nach der Ausführung selbst.