TSPY_ZBOT.PLL

Überprüft, ob die folgenden Prozesse vorhanden sind, die in Verbindung mit Outpost Personal Firewall und ZoneLabs Firewall Client stehen. Wenn einer der besagten Prozesse aktiv ist, wird dieser beendet. Auf diese Weise wird eine ununterbrochene Ausführung sichergestellt.

Installation

Schleust Kopien von sich selbst in den Windows Systemordner ein und hängt bedeutungslose Codefragmente (so genannten Garbage-Code) an die Datei an, um eine leichte Erkennung zu verhindern. Die eingeschleusten Kopien verwenden die folgenden Dateinamen:

• sdra64.exe

Anschließend werden die folgenden nicht bösartigen Dateien erstellt:

• %system%\lowsec\user.ds - used to save the gathered information
• %system%\lowsec\local.ds - copy of the encrypted downloaded file

Erstellt die folgenden Ordner und legt für diese die Attribute System und Versteckt fest, um zu verhindern, dass die darin befindlichen Komponenten von Benutzern entdeckt und entfernt werden:

• %system%\lowsec

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• _AVIRA_2108
• _AVIRA_2109

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgeführt zu werden:

• Winlogon.exe
• Svchost.exe

Autostart-Technik

Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, %System%\sdra64.exe,

(Note: The default value data of the said registry entry is %System%\Userinit.exe.)

Andere Systemänderungen

Erstellt auch die folgenden Registrierungseinträge während der eigenen Installation:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Network
UID = {computer name}_{random numbers}

Datendiebstahl

Greift auf die folgende Site zu, um die eigene Konfigurationsdatei herunterzuladen:

• http://{BLOCKED}z.com/bla/cf.bin

Beachten Sie, dass der Inhalt der Datei, d. h. die Liste der zu überwachenden Websites, jederzeit geändert werden kann.

Entwendete Daten

Die entwendeten Informationen werden in der folgenden Datei gespeichert:

• %system%\lowsec\user.ds

Andere Details

Zeigte bei Tests keine Routinen zur Weiterverbreitung.

Überprüft, ob die folgenden Prozesse vorhanden sind, die in Verbindung mit Outpost Personal Firewall und ZoneLabs Firewall Client:

• outpost.exe
• zlclient.exe

Zeigte beim Testen keine Backdoor-Routinen.