TSPY_EMOTET.TTIBBJL

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %AppDataLocal%\Microsoft\Windows\{string 1}{string 2}.exe ← drops the file here if it has no admin privileges
• %System%\{string 1}{string 2}.exe ← drops the file here if it has admin privileges
  where {string 1} and {string 2} is a combination of any of the following strings:
  • betest
  • stock
  • headers
  • chart
  • drop
  • member
  • strip
  • ldr
  • con
  • reports
  • facts
  • shlp
  • ftp
  • action
  • defrag
  • dest
  • teal
  • smx
  • ait
  • srv
  • steps
  • display
  • send
  • cee
  • wrap
  • light
  • text
  • boxes
  • turned
  • tag
  • ipxrip
  • max
  • lab
  • hotspot
  • svc
  • umx
  • trouble
  • detect
  • with
  • brack
  • bits
  • wsm
  • sdk
  • stg
  • private
  • only
  • bundle
  • trns
  • atalk
  • game
  • sel
  • region
  • sky
  • boldina
  • tiny
  • logon
  • uart
  • pbda
  • android
  • cycle
  • just
  • unicode
  • arr
  • perf

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• M{volume serial number}
• I{volume serial number}
• E{volume serial number}

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string 1}{string 2}
ImagePath = %System%\{string 1}{string 2}.exe
where {string 1} and {string 2} is the same name as the drop file

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string 1}{string 2} = %AppDataLocal%\Microsoft\Windows\{string 1}{string 2}.exe

Datendiebstahl

Folgende Daten werden gesammelt:

• Machine Name
• System Locale
• OS Version
• Running Processes

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• http://{BLOCKED}.{BLOCKED}.54.171:8080/
• http://{BLOCKED}.{BLOCKED}.214.210:443/
• http://{BLOCKED}.{BLOCKED}.146.226/
• http://{BLOCKED}.{BLOCKED}.43.110:8080/
• http://{BLOCKED}.{BLOCKED}.170.222:8080/
• http://{BLOCKED}.{BLOCKED}.173.247:8080/
• http://{BLOCKED}.{BLOCKED}.164.23:8080/
• http://{BLOCKED}.{BLOCKED}.167.185:443/
• http://{BLOCKED}.{BLOCKED}.113.145:4143/
• http://{BLOCKED}.{BLOCKED}.61.90/
• http://{BLOCKED}.{BLOCKED}.17.209/
• http://{BLOCKED}.{BLOCKED}.43.125:7080/
• http://{BLOCKED}.{BLOCKED}.246.242:443/
• http://{BLOCKED}.{BLOCKED}.78.9:443/
• http://{BLOCKED}.{BLOCKED}.60.206:443/
• http://{BLOCKED}.{BLOCKED}.184.52/
• http://{BLOCKED}.{BLOCKED}.104.194/
• http://{BLOCKED}.{BLOCKED}.168.27:53/
• http://{BLOCKED}.{BLOCKED}.168.27:8443/
• http://{BLOCKED}.{BLOCKED}.218.192:4143/
• http://{BLOCKED}.{BLOCKED}.116.230:990/
• http://{BLOCKED}.{BLOCKED}.176.48:443/
• http://{BLOCKED}.{BLOCKED}.127.246:443/
• http://{BLOCKED}.{BLOCKED}.49.37:8080/
• http://{BLOCKED}.{BLOCKED}.175.215:8090/
• http://{BLOCKED}.{BLOCKED}.74.183/
• http://{BLOCKED}.{BLOCKED}.89.209:8080/
• http://{BLOCKED}.{BLOCKED}.131.69:8080/
• http://{BLOCKED}.{BLOCKED}.131.87/
• http://{BLOCKED}.{BLOCKED}.97.91:50000/
• http://{BLOCKED}.{BLOCKED}.170.58/
• http://{BLOCKED}.{BLOCKED}.77.184:8090/
• http://{BLOCKED}.{BLOCKED}.60.231:4143/
• http://{BLOCKED}.{BLOCKED}.255.155/
• http://{BLOCKED}.{BLOCKED}.225.30:465/
• http://{BLOCKED}.{BLOCKED}.182.42:8080/
• http://{BLOCKED}.{BLOCKED}.201.243:443/
• http://{BLOCKED}.{BLOCKED}.116.104/
• http://{BLOCKED}.{BLOCKED}.5.162:8080/