TSPY_DYRE.DE

Wird möglicherweise von anderer Malware eingeschleust.

Verwendet den Windows Task-Planer, um einen geplanten Task hinzuzufügen, der die eingeschleusten Kopien ausführt.

Diese Malware hat keine Verbreitungsroutine.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird möglicherweise von der folgenden Malware eingeschleust:

• TROJ_UPATRE.D

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %AppDataLocal%\{random filename}.exe (for Windows Vista and above)
• %Windows%\{random filename}.exe (for Windows XP and below)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Verwendet den Windows Task-Planer, um einen geplanten Task hinzuzufügen, der die eingeschleusten Kopien ausführt.

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\u1nyj3rt20

Injiziert Code in die folgenden Prozesse:

• explorer.exe
• svchost.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
ImagePath = "%Windows%\{random filename}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
DisplayName = "Google Update Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
Type = "16"

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate (for Windows XP and below)

Die zeitgesteuerte Aufgabe führt die Malware in folgenden Intervallen aus:

• 1 minute

Andere Systemänderungen

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
LimitBlankPasswordUse = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fSingleSessionPerUser = "0"

(Note: The default value data of the said registry entry is 1.)

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %System%\config\systemprofile\Application Data\{random filename} (for Windows XP and below)
• %AppDataLocal%\{random filename} (for Windows Vista and above)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Datendiebstahl

Folgende Daten werden gesammelt:

• Host Name
• Public IP Address
• Computer Name
• OS Version
• OS Platform
• User Accounts
• System Info(CPU, Memory, No. of Processors)
• Installed programs
• Services

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.220.8:443
• http://{BLOCKED}.{BLOCKED}.157.202:443
• http://{BLOCKED}.{BLOCKED}.157.210:443
• http://{BLOCKED}.{BLOCKED}.93.197:443
• http://{BLOCKED}.{BLOCKED}.226.85:443
• http://{BLOCKED}.{BLOCKED}.63.98:443
• http://{BLOCKED}.{BLOCKED}.73.130:443
• http://{BLOCKED}.{BLOCKED}.250.245:443
• http://{BLOCKED}.{BLOCKED}.48.147:443
• http://{BLOCKED}.{BLOCKED}.49.139:443
• http://{BLOCKED}.{BLOCKED}.49.162:443
• http://{BLOCKED}.{BLOCKED}.76.24:443
• http://{BLOCKED}.{BLOCKED}.166.94:4443
• http://{BLOCKED}.{BLOCKED}.18.187:4443
• http://{BLOCKED}.{BLOCKED}.48.79:443
• http://{BLOCKED}.{BLOCKED}.50.124:4443
• http://{BLOCKED}.{BLOCKED}.201.9:443
• http://{BLOCKED}.{BLOCKED}.153.202:443
• http://{BLOCKED}.{BLOCKED}.91.90:443
• http://{BLOCKED}.{BLOCKED}.64.35:4443
• http://{BLOCKED}.{BLOCKED}.142.66:443
• http://{BLOCKED}.{BLOCKED}.194.101:4443
• http://{BLOCKED}.{BLOCKED}.154.180:4443
• http://{BLOCKED}.{BLOCKED}.190.84:443
• http://{BLOCKED}.{BLOCKED}.34.245:443
• http://{BLOCKED}.{BLOCKED}.171.216:443
• http://{BLOCKED}.{BLOCKED}.58.42:4443
• http://{BLOCKED}.{BLOCKED}.60.93:4443
• http://{BLOCKED}.{BLOCKED}.135.106:4443
• http://{BLOCKED}.{BLOCKED}.179.197:443
• http://{BLOCKED}.{BLOCKED}.81.96:4443
• http://{BLOCKED}.{BLOCKED}.165.182:443
• http://{BLOCKED}.{BLOCKED}.182.74:443
• http://{BLOCKED}.{BLOCKED}.230.226:4443
• http://{BLOCKED}.{BLOCKED}.33.225:4443
• http://{BLOCKED}.{BLOCKED}.147.103:4443
• http://{BLOCKED}.{BLOCKED}.156.170:4443
• http://{BLOCKED}.{BLOCKED}.128.203:443
• http://{BLOCKED}.{BLOCKED}.57.164:4443
• http://{BLOCKED}.{BLOCKED}.203.23:443
• http://{BLOCKED}.{BLOCKED}.191.170:443
• http://{BLOCKED}.{BLOCKED}.51.115:4443
• http://{BLOCKED}.{BLOCKED}.75.75:4443
• http://{BLOCKED}.{BLOCKED}.254.225:443
• http://{BLOCKED}.{BLOCKED}.102.70:443
• http://{BLOCKED}.{BLOCKED}.9.66:4443

Löscht sich nach der Ausführung selbst.