TSPY_ZBOT.SMKLL

Die Injizierung erfolgt in alle laufenden Prozesse, um im Speicher resident zu verbleiben.

Diese Malware hat keine Verbreitungsroutine.

Ändert Zoneneinstellungen von Internet Explorer.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\{random foldername 1}\{random filename 1}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %Application Data%\{random foldername 2}\{random filename 2}.{random extension}
• %Application Data%\{random foldername 2}\{random filename 2}.tmp
• %Application Data%\{random foldername 3}\{random filename 3}.{random extension}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein und führt sie aus:

• %User Temp%\tmp{random}.bat ← use to delete initially executed copy, delete itself afterwards

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\{random foldername 1}
• %Application Data%\{random foldername 2}
• %Application Data%\{random foldername 3}

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Die Injizierung erfolgt in alle laufenden Prozesse, um im Speicher resident zu verbleiben.

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Local\{GUID}
• Global\{GUID}

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random} = "%Application Data%\{random foldername 1}\{random filename 1}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

​HKEY_CURRENT_USER\Software\Microsoft\
{random key}

Fügt die folgenden Registrierungseinträge hinzu:

​HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random 1} = "{random hex values}"

​HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random 2} = "{random hex values}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "0"

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Download-Routine

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Datendiebstahl

Die Konfigurationsdatei enthält die folgenden Informationen:

• URLs where it downloads an updated copy of itself
• URLs where it sends its gathered information
• URLs of its target online banking and finance-related sites from where it steals the information

Folgende Daten werden gesammelt:

• Data on cookie files (URLs)
• Email-related information such as account names, email addresses, passwords, server data, and server port
• Email information stored in the user’s Windows Address Book (WAB) file
• Online banking credentials
• Personal digital cerificate