TSPY_EMOTET.XXTL

Ändert Zoneneinstellungen von Internet Explorer.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %AppDataLocal%\{random name}\{random name}.exe

Autostart-Technik

Schleust die folgende Verknüpfung in den Ordner 'Autostart' ein, die auf die Kopie der eigenen Datei verweist, so dass diese bei jedem Systemstart automatisch ausgeführt wird:

• %User Startup%\{random name}.lnk

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Download-Routine

Öffnet die folgenden Websites, um Dateien herunterzuladen:

• When running on a Virtual Environment, the malware connects to the following inaccessible/fake URLs:
  • http://{BLOCKED}.{BLOCKED}.24.211:443
  • http://{BLOCKED}.{BLOCKED}.22.63:443
  • http://{BLOCKED}.{BLOCKED}.5.69:443
  • http://{BLOCKED}.{BLOCKED}.82.254:443
  • http://{BLOCKED}.{BLOCKED}.81.35:8080
  • http://{BLOCKED}.{BLOCKED}.66.107:8080
  • http://{BLOCKED}.{BLOCKED}.119.91:8080
  • http://{BLOCKED}.{BLOCKED}.145.252:8080
  • http://{BLOCKED}.{BLOCKED}.172.45:8080
  • http://{BLOCKED}.{BLOCKED}.83.86:8080
  • http://{BLOCKED}.{BLOCKED}.231.207:8080
  • http://{BLOCKED}.{BLOCKED}.33.202:8080
  • http://{BLOCKED}.{BLOCKED}.215.16:8080
  • http://{BLOCKED}.{BLOCKED}.36.193:8080
• When the malware is not running on a Virtual Environment, it connects to the following URL:
  • http://{BLOCKED}.{BLOCKED}.75.19:8080

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\{random filename}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.