TSPY_TRICKBOT.TIDACAN

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Application Data%\{folder name}\{malware name}.exe
  Where folder name can be one of the following:
  • DiskMonitor
  • mstools

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Prozesse hinzu:

• svchost.exe

Erstellt die folgenden Ordner:

• %Application Data%\{folder name}
• %Application Data%\{folder name}\Modules
• %Application Data%\{folder name}\Modules\injectDll32_configs

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• {17 random hex characters}

Andere Systemänderungen

Ändert die folgenden Dateien:

• %Application Data%\Mozilla\Firefox\Profiles\{profile folder}\prefs.js
  Appends the following strings:
  • user_pref("browser.tabs.remote.autostart.2", false);
  • user_pref("browser.tabs.remote.autostart", false);
  • user_pref("network.http.spdy.enabled.http2", false);

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
%Application Data%\{folder name}\ = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Exclusions\
Paths
%Application Data%\{folder name}\ = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Antimalware\Exclusions\Paths
%Application Data%\{folder name}\ = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
EnableHTTP2 = 0

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %Application Data%\{folder name}\config.conf
• %Application Data%\{folder name}\FAQ
• %Application Data%\{folder name}\README.md
• %Application Data%\{folder name}\Modules\injectDll32 - encrypted dll
• %Application Data%\{folder name}\Modules\systeminfo32 - encrypted dll
• %Application Data%\{folder name}\Modules\injectDll32_configs\dinj - encrypted config file
• %Application Data%\{folder name}\Modules\injectDll32_configs\dpost - encrypted config file
• %Application Data%\{folder name}\Modules\injectDll32_configs\sinj - encrypted config file

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}.{BLOCKED}.48.118:449
• {BLOCKED}.{BLOCKED}.90.102:449
• {BLOCKED}.{BLOCKED}.196.254:449
• {BLOCKED}.{BLOCKED}.207.204:449
• {BLOCKED}.{BLOCKED}.4.216:449
• {BLOCKED}.{BLOCKED}.117.95:449
• {BLOCKED}.{BLOCKED}.134.61:449
• {BLOCKED}.{BLOCKED}.73.154:449
• {BLOCKED}.{BLOCKED}.192.194:449
• {BLOCKED}.{BLOCKED}.125.37:449
• {BLOCKED}.{BLOCKED}.174.189:443
• {BLOCKED}.{BLOCKED}.102.12:449
• {BLOCKED}.{BLOCKED}.48.221:449
• {BLOCKED}.{BLOCKED}.223.63:449
• {BLOCKED}.{BLOCKED}.15.87:449
• {BLOCKED}.{BLOCKED}.215.149:449
• {BLOCKED}.{BLOCKED}.186.127:451
• {BLOCKED}.{BLOCKED}.31.46:449
• {BLOCKED}.{BLOCKED}.119.164:449
• {BLOCKED}.{BLOCKED}.49.162:449
• {BLOCKED}.{BLOCKED}.89.70:449
• {BLOCKED}.{BLOCKED}.218.104:443
• {BLOCKED}.{BLOCKED}.166.96:443
• {BLOCKED}.{BLOCKED}.198.156:443
• {BLOCKED}.{BLOCKED}.174.235:443
• {BLOCKED}.{BLOCKED}.146.107:443
• {BLOCKED}.{BLOCKED}.48.3:443
• {BLOCKED}.{BLOCKED}.37.242:443
• {BLOCKED}.{BLOCKED}.198.115:443
• {BLOCKED}.{BLOCKED}.32.144:443