TSPY_ZBOT.MK

Wird möglicherweise von anderer Malware eingeschleust. Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Versucht, Daten zu entwenden, wie z. B. Benutzernamen und Kennwörter, die beim Anmelden auf Websites von Banken oder anderen Finanzdienstleistern verwendet werden.

Übertragungsdetails

Wird möglicherweise von anderer Malware eingeschleust.

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Installation

Schleust Kopien von sich selbst in den Windows Systemordner ein und hängt bedeutungslose Codefragmente (so genannten Garbage-Code) an die Datei an, um eine leichte Erkennung zu verhindern. Die eingeschleusten Kopien verwenden die folgenden Dateinamen:

• sdra64.exe

Fügt sich in die folgenden Prozesse ein, die im Speicher des betroffenen Systems ausgeführt werden:

• SVCHOST.EXE
• WINLOGON.EXE

Erstellt die folgenden Ordner und legt für diese die Attribute System und Versteckt fest, um zu verhindern, dass die darin befindlichen Komponenten von Benutzern entdeckt und entfernt werden:

• %System%\lowsec

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Autostart-Technik

Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, %System%\sdra64.exe,

(Note: The default value data of the said registry entry is %System%\userinit.exe,.)

Schleust die folgenden Dateien ein:

• %System%\lowsec\local.ds - copy of the encrypted downloaded file
• %System%\lowsec\user.ds - used to save the gathered information

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Network
UID = {Computer name}_{Random numbers}

Fügt die folgenden Registrierungsschlüssel als Teil der Installationsroutine hinzu:

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6}

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\{9E538ED2-437C-088A-86DD-1FE4F7C3145B}

Datendiebstahl

Überwacht auf dem betroffenen System die Aktivitäten von Internet Explorer (IE), insbesondere die Adressleiste. Erstellt eine rechtmäßige Website mit einer gefälschten Anmeldeseite, wenn ein Benutzer Banking-Websites mit den folgenden Zeichenfolgen in der Adressleiste und/oder Titelleiste besucht:

• http://*myspace.com*
• https://www.gruposantander.es/*
• https://internetbanking.gad.de/*/portal?bankid=*
• https://www.vr-networld-ebanking.de/index.php?RZKZ=*&RZBK=*
• https://finanzportal.fiducia.de/*?rzid=*&rzbk=*
• https://ssl.bsk.com.pl/bskonl/login.ac
• https://*.banking.first-direct.com/*

Greift auf die folgende Site zu, um die eigene Konfigurationsdatei herunterzuladen:

• http://{BLOCKED}y.com.cn/catalog/images/default/3.bin

Die heruntergeladene Datei enthält Informationen, wo die Malware eine aktualisierte Kopie von sich selbst herunterladen kann und wohin die entwendeten Daten gesendet werden sollen.

Versucht, Daten von den folgenden Banken und/oder anderen Geldinstituten zu entwenden:

• Santader
• Volksbank
• Fiducia
• ING Bank
• First Direct

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://www.{BLOCKED}tek.cn/catalog/images/logos/g.php