TSPY_EMOTET.FFPT

Die Injizierung erfolgt in alle laufenden Prozesse, um im Speicher resident zu verbleiben.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\Identities\{random 8 characters}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Die Injizierung erfolgt in alle laufenden Prozesse, um im Speicher resident zu verbleiben.

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• ci{process ID of injected explorer.exe in hex}
• cm{process ID of injected explorer.exe in hex}
• rm{random}

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 8 characters}.exe = "%Application Data%\{random 8 characters}.exe"

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
{random}

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
{random}\Settings

HKEY_CURRENT_USER\Software\Netscape\
5.0\{random}\{random}

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
{random}\Recent File List HKEY_CURRENT_USER\Software\
Local AppWizard-Generated Applications\{random}\Settings

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

Datendiebstahl

Folgende Daten werden gesammelt:

• Computer name
• Country
• Volume information
• OS Version

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.86.207:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.1.22:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.174.192:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.174.144:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.59.191:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.213.92:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.231.167:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.59.161:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.249.53:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.170.164:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.169.146:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.174.192:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.54.24:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.174.144:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.24.35:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.123.186:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.162.180:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.220.50:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.110.43:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.17.185:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.199.119:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.99.214:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.26.52:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.111.17:8080/{random}/{random}/