TSPY_DYRE.CON

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Installation

Abhängig von der Plattform oder dem Betriebssystem werden die folgenden Dateien auf dem betroffenen Computer eingeschleust:

• %AppDataLocal%\{nw9vbe8cc4}.dll (for Vista and higher)
• %System%\config\systemprofile\Application Data\{nw9vbe8cc4}.dll (for Windows XP and lower)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Windows%\{random file name}.exe (for Windows XP and lower)
• %AppDataLocal%\{random file name}.exe (for Vista and higher)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\zx5fwtw4ep

Injiziert Code in die folgenden Prozesse:

• explorer.exe
• svchost.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
ImagePath = "%Windows%\{random file name}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
DisplayName = "Google Update Service"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = "%AppDataLocal%\{random file name}.exe" (for Vista and higher)

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate (for Windows XP and lower)

Datendiebstahl

Folgende Daten werden gesammelt:

• Host Name
• Public IP Address
• OS Version
• User Name
• Computer Name
• OS platform
• Installed programs

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}.{BLOCKED}.40.82:443
• {BLOCKED}.{BLOCKED}.178.46:4443
• {BLOCKED}.{BLOCKED}.254.183:443
• {BLOCKED}.{BLOCKED}.40.44:4443
• {BLOCKED}.{BLOCKED}.91.230:443
• {BLOCKED}.{BLOCKED}.250.93:443
• {BLOCKED}.{BLOCKED}.239.151:4443
• {BLOCKED}.{BLOCKED}.138.33:4443
• {BLOCKED}.{BLOCKED}.97.196:443
• {BLOCKED}.{BLOCKED}.53.132:443
• {BLOCKED}.{BLOCKED}.34.153:443
• {BLOCKED}.{BLOCKED}.224.45:443
• {BLOCKED}.{BLOCKED}.52.192:443
• {BLOCKED}.{BLOCKED}.54.100:4443
• {BLOCKED}.{BLOCKED}.151:4443
• {BLOCKED}.{BLOCKED}.74.70:443
• {BLOCKED}.{BLOCKED}.99.217:443
• {BLOCKED}.{BLOCKED}.109.116:443
• {BLOCKED}.{BLOCKED}.53.142:4443
• {BLOCKED}.{BLOCKED}.88.84:4443
• {BLOCKED}.{BLOCKED}.249.207:443
• {BLOCKED}.{BLOCKED}.41.34:4443
• {BLOCKED}.{BLOCKED}.175.202:443
• {BLOCKED}.{BLOCKED}.52.191:443
• {BLOCKED}.{BLOCKED}.143.37:4443
• {BLOCKED}.{BLOCKED}.57.205:443
• {BLOCKED}.{BLOCKED}.97.216:443
• {BLOCKED}.{BLOCKED}.228.155:443
• {BLOCKED}.{BLOCKED}.177.142:4443
• {BLOCKED}.{BLOCKED}.138:4443
• {BLOCKED}.{BLOCKED}.246.111:443
• {BLOCKED}.{BLOCKED}.40.82:443
• {BLOCKED}.{BLOCKED}.236.40:4443
• {BLOCKED}.{BLOCKED}.114.243:443
• {BLOCKED}.{BLOCKED}.96.214:443
• {BLOCKED}.{BLOCKED}.172.215:4443
• {BLOCKED}.{BLOCKED}.239.151:443
• {BLOCKED}.{BLOCKED}.98.108:4443
• {BLOCKED}.{BLOCKED}.97.215:4443
• {BLOCKED}.{BLOCKED}.69.159:4443
• {BLOCKED}.{BLOCKED}.69.172:4443
• {BLOCKED}.{BLOCKED}.69.151:4443
• {BLOCKED}.{BLOCKED}.241.244:4443
• {BLOCKED}.{BLOCKED}.103.60:443
• {BLOCKED}.{BLOCKED}.243.60:4443
• {BLOCKED}.{BLOCKED}.48.106:443
• {BLOCKED}.{BLOCKED}.98.232:4443
• {BLOCKED}.{BLOCKED}.98.248:4443
• {BLOCKED}.{BLOCKED}.98.128:443