TSPY_DYRE.IK

Um einen Überblick über das Verhalten dieser Spyware zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Installation

Abhängig von der Plattform oder dem Betriebssystem werden die folgenden Dateien auf dem betroffenen Computer eingeschleust:

• %System%\config\systemprofile\Application Data\ne9bzef6m8.dll (for Windows XP and lower)
• %AppDataLocal%\ne9bzef6m8.dlll (for Windows Vista and higher)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Windows%\{random filename}.exe (for Windows XP and lower)
• %AppDataLocal%\{random filename}.exe (for Windows Vista and higher)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Injiziert Code in die folgenden Prozesse:

• explorer.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
ImagePath = "%Windows%\{random filename}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
DisplayName = "Google Update Service"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = "%AppDataLocal%\{random filename}.exe" (for Windows Vista and higher)

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate (for Windows XP and lower)

Datendiebstahl

Folgende Daten werden gesammelt:

• Host Name
• Public IP Address
• OS Version
• User Name
• Computer Name
• OS platform
• Installed programs

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.74.70:443
• http://{BLOCKED}.{BLOCKED}.152.131:443
• http://{BLOCKED}.{BLOCKED}.190.183:443
• http://{BLOCKED}.{BLOCKED}.190.183:443
• http://{BLOCKED}.{BLOCKED}.178.46:4443
• http://{BLOCKED}.{BLOCKED}.190.167:443
• http://{BLOCKED}.{BLOCKED}.34.137:443
• http://{BLOCKED}.{BLOCKED}.63.46:443
• http://{BLOCKED}.{BLOCKED}.165.229:443
• http://{BLOCKED}.{BLOCKED}.206.204:443
• http://{BLOCKED}.{BLOCKED}.34.203:443
• http://{BLOCKED}.{BLOCKED}.157.139:443
• http://{BLOCKED}.{BLOCKED}.255.131:443
• http://{BLOCKED}.{BLOCKED}.147.50:443
• http://{BLOCKED}.{BLOCKED}.23.130:443
• http://{BLOCKED}.{BLOCKED}.54.22:443
• http://{BLOCKED}.{BLOCKED}.55.122:443
• http://{BLOCKED}.{BLOCKED}.81.96:4443
• http://{BLOCKED}.{BLOCKED}.235.48:443
• http://{BLOCKED}.{BLOCKED}.14.89:443
• http://{BLOCKED}.{BLOCKED}.69.137:4443
• http://{BLOCKED}.{BLOCKED}.190.84:443
• http://{BLOCKED}.{BLOCKED}.190.146:443
• http://{BLOCKED}.{BLOCKED}.191.213:443
• http://{BLOCKED}.{BLOCKED}.255.87:4443
• http://{BLOCKED}.{BLOCKED}.79.84:443
• http://{BLOCKED}.{BLOCKED}.92.77:443
• http://{BLOCKED}.{BLOCKED}.194.237:443
• http://{BLOCKED}.{BLOCKED}.97.141:443
• http://{BLOCKED}.{BLOCKED}.178.37:443
• http://{BLOCKED}.{BLOCKED}.15.70:443
• http://{BLOCKED}.{BLOCKED}.170.118:443
• http://{BLOCKED}.{BLOCKED}.169.178:443
• http://{BLOCKED}.{BLOCKED}.202.3:443
• http://{BLOCKED}.{BLOCKED}.202.197:443
• http://{BLOCKED}.{BLOCKED}.169.187:443
• http://{BLOCKED}.{BLOCKED}.177.95:443
• http://{BLOCKED}.{BLOCKED}.153.216:443
• http://{BLOCKED}.{BLOCKED}.58.238:4443
• http://{BLOCKED}.{BLOCKED}.54.127:443
• http://{BLOCKED}.{BLOCKED}.234.86:4443
• http://{BLOCKED}.{BLOCKED}.239.215:443
• http://{BLOCKED}.{BLOCKED}.201.9:443
• http://{BLOCKED}.{BLOCKED}.164.18:443
• http://{BLOCKED}.{BLOCKED}.115.88:443
• http://{BLOCKED}.{BLOCKED}.54.111:443
• http://{BLOCKED}.{BLOCKED}.190.26:443
• http://{BLOCKED}.{BLOCKED}.219.35:443
• http://{BLOCKED}.{BLOCKED}.54.111:443
• http://{BLOCKED}.{BLOCKED}.164.18:443
• http://{BLOCKED}.{BLOCKED}.212.27:443
• http://{BLOCKED}.{BLOCKED}.190.167:443
• http://{BLOCKED}.{BLOCKED}.255.87:4443

Löscht sich nach der Ausführung selbst.