TSPY_SWOTTER.THFBOAJ

Installation

Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:

• %Program Files%\{random name 1}\{random name 2}.exe

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Schleust die folgenden Dateien ein:

• %User Temp%\ns{Random}\System.dll
• %User Temp%\Proctodaeum.bin - detected as TSPY_SWOTTER.ENC (encrypted component)
• %User Temp%\unsocialism.dll - decrypts encrypted component, also detected as TSPY_SWOTTER.THFBOAJ

Fügt die folgenden Prozesse hinzu:

• {Malware filepath}\{Malware filename}

Fügt sich in die folgenden Prozesse ein, die im Speicher des betroffenen Systems ausgeführt werden:

• {Malware filepath}\{Malware filename} (The process added by the malware)

Erstellt die folgenden Ordner:

• %User Temp%\ns{Random}.tmp
• %Program Files%\{random name 1}
• %Application Data%\667MNQR6

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Injiziert Threads in die folgenden normalen Prozesse:

• explorer.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random3} = %Program Files%\{random name 1}\{random name 2}.exe

Datendiebstahl

Folgende Daten werden gesammelt:

• Clipboard content
• Keystrokes
• User's SID
• Operating system version
• Operating system architecture
• Username

Entwendete Daten

Speichert die entwendeten Informationen in der folgenden Datei:

• %Application Data%\667MNQR6\667logcl.ini - clipboard content
• %Application Data%\667MNQR6\667log.ini - keystrokes
• %Application Data%\667MNQR6\667logrt.ini - Thunderbird passwords
• %Application Data%\667MNQR6\667logrg.ini - Google passwords
• %Application Data%\667MNQR6\667logrc.ini - Outlook passwords
• %Application Data%\667MNQR6\667logrv.ini - Windows Vault passwords
• %Application Data%\667MNQR6\667logro.ini - Opera passwords
• %Application Data%\667MNQR6\667logri.ini - Internet Explorer passwords
• %Application Data%\667MNQR6\667logrf.ini - Firefox passwords
• %Application Data%\667MNQR6\667logim.jpg - screenshot

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://www.{BLOCKED}ineandian.com/zz/
• http://www.{BLOCKED}angpanpan.com/zz/
• http://www.{BLOCKED}ten.com/zz/
• http://www.{BLOCKED}p.com/zz/
• http://www.{BLOCKED}rsfaits.com/zz/
• http://www.{BLOCKED}n.net/zz/
• http://www.{BLOCKED}werup.com/zz/
• http://www.{BLOCKED}ntedbookgarden.com/zz/
• http://www.{BLOCKED}apoder.com/zz/
• http://www.{BLOCKED}hes.com/zz/
• http://www.{BLOCKED}oto.com/zz/
• http://www.{BLOCKED}algroup.biz/zz/
• http://www.{BLOCKED}rlygrieve.com/zz/
• http://www.{BLOCKED}gallurproperty.com/zz/
• http://www.{BLOCKED}5.com/zz/
• http://www.{BLOCKED}h.com/zz/
• http://www.{BLOCKED}maury.net/zz/
• http://www.{BLOCKED}oenelmundo.com/zz/
• http://www.{BLOCKED}jobsuae.com/zz/
• http://www.{BLOCKED}ngtouzi.com/zz/
• http://www.{BLOCKED}or.com/zz/
• http://www.{BLOCKED}nglarnaca.com/zz/
• http://www.{BLOCKED}buhb.loan/zz/
• http://www.{BLOCKED}olabs.com/zz/
• http://www.{BLOCKED}stateagentinfolsom.com/zz/
• http://www.{BLOCKED}lijn.com/zz/
• http://www.{BLOCKED}grafica.com/zz/
• http://www.{BLOCKED}shikong.com/zz/
• http://www.{BLOCKED}o.com/zz/
• http://www.{BLOCKED}sepahyar.com/zz/
• http://www.{BLOCKED}oom.net/zz/
• http://www.{BLOCKED}y.com/zz/
• http://www.{BLOCKED}alky.site/zz/
• http://www.{BLOCKED}nytimeshare.info/zz/
• http://www.{BLOCKED}2bm3h1b060bftgdwp.com/zz/
• http://www.{BLOCKED}rteckcybbautboards.win/zz/