TSPY_ZBOT.SMQH

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen. Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen. Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Wird möglicherweise in folgende Prozesse injiziert, die im Arbeitsspeicher ausgeführt werden:

Versucht, Daten zu entwenden, wie z. B. Benutzernamen und Kennwörter, die beim Anmelden auf Websites von Banken oder anderen Finanzdienstleistern verwendet werden.

Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder bösartige Benutzer übertragen.

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Wird möglicherweise unwissentlich von einem Benutzer beim Besuch bösartiger Websites heruntergeladen.

Wird möglicherweise von den folgenden externen Sites heruntergeladen:

• http://{BLOCKED}emical.com/w.php?f=55&e=3

Installation

Schleust die folgenden Dateien ein:

• %User Profile%\Application Data\{random2}\{random filename}.{random} - contains encrypted stolen data

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Profile%\Application Data\{random1}\{random filename}.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %User Profile%\Application Data\{random1}
• %User Profile%\Application Data\{random2}

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Wird möglicherweise in folgende Prozesse injiziert, die im Arbeitsspeicher ausgeführt werden:

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID of mount point of %Windows%} = %User Profile%\Application Data\{random1}\{random filename}.exe

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
{random}

Datendiebstahl

Überwacht auf dem betroffenen System die Aktivitäten von Internet Explorer (IE), insbesondere die Adressleiste. Erstellt eine rechtmäßige Website mit einer gefälschten Anmeldeseite, wenn ein Benutzer Banking-Websites mit den folgenden Zeichenfolgen in der Adressleiste und/oder Titelleiste besucht:

• *.facebook.com/*
• *.microsoft.com/*
• *.myspace.com/*
• *.twitter.com/*
• *.youtube.com/*
• *abcjmp.com*
• *bebo.com*
• *chat.*
• *erate/eventreport.asp*
• *hi5.com
• *hotbar.com*
• *http://musicservices.myspacecdn.com*
• *mcafee.com*
• *mochiads.com
• *mochiads.com!*nasza-klasa.pl*
• *musicservices.myspacecdn.com*
• *my-etrust.com*
• *nasza-klasa.pl*
• *punjabijanta.com/*
• *scanscout.com*
• *streamstats1.blinkx.com*
• https://*.cedacri.it/*
• https://*.ebanking-services.com/*/signin.aspxauthTkn
• https://*.mcafee.com/*
• https://53.com/
• https://accountonline.com/
• https://authmaster.nationalcity.com/tmgmt/
• https://bancopostaimpresaonline.poste.it/bpiol/lastFortyMovementsBalance.do?method=loadLastFortyMovementList
• https://banking.sparda.de/wps/spardamodern-banking
• https://bankofamerica.com/
• https://chase.com/
• https://chatserver.comm100.com/*
• https://citibank.com/
• https://client.schwab.com/accounts/summary/summary.aspx
• https://clients4.google.com/*
• https://cm.netteller.com/login2008/Authentication/Views/Login.aspx
• https://dbonline.deutsche-bank.it/*
• https://fx.sbisec.co.jp/*
• https://hbnet1.cedacri.it/06045/*
• https://it.mcafee.com*
• https://login.yahoo.com/
• https://mail.google.com/mail/?shva=
• https://mail.goole.com/*
• https://market.android.com/account
• https://match2.me.dium.com/*
• https://mfasa.chase.com/
• https://online.wellsfargo.com/das/cgi-bin/session.cgi
• https://onlinebanking.capitalone.com/
• https://onlinebanking.wachovia.com/myAccounts.aspx
• https://paypal.com/
• https://pnc.com/
• https://qweb.quercia.com/*
• https://regions.com/
• https://server.iad.liveperson.net/*
• https://suntrust.com/PersonalBanking
• https://suntrust.com/portal
• https://telematici.agenziaentrate.gov.it*
• https://us.hsbc.com/
• https://usaa.com/
• https://usbank.com/
• https://wellsfargo.com/
• https://www.1fbusa.com/
• https://www.autobus.it*
• https://www.bancagenerali.it/*
• https://www.csebo.it/*
• https://www.direktprint.de/*
• https://www.macys.com/
• https://www.myaccountaccess.com/onlineCard/
• https://www.myaccountaccess.com/onlineCard/AcctSummary.aspx
• https://www.myaccountaccess.com/onlineCard/postLogin.do?phase=start
• https://www.mycardstatement.com/AcctSummary.aspx
• https://www.nordstromcard.com/fdr_nr.service?TRANTYPE
• https://www.nordstromcard.com/fdr_nr.service?TRANTYPEU
• https://www.partnercardservices.com/ecare/control/generic.js
• https://www.partnercardservices.com/ecare/customerservice/updatepersonalinfo?&locale=en_US&brand=RZ_500_501
• https://www.partnercardservices.com/ecare/viewaccount
• https://www.partnercardservices.com/ecare/viewaccount?
• https://www.paypal.com/
• https://www.pnccardservicesonline.com/pages/AccountSummary.aspx
• https://www.sparkasse.it/*
• https://www.statementlook.com/fdr_ge.service?TRANTYPE
• https://www.statementlook.com/fdr_ge.service?TRANTYPEU
• https://www.usbank.com/internetBanking/RequestRouter
• https://www.vodafone.it/*
• https://www3.csebo.it/*
• www.gbw-gruppe.de

Greift auf die folgende Site zu, um die eigene Konfigurationsdatei herunterzuladen:

• {BLOCKED}.{BLOCKED}.4.120
• {BLOCKED}.{BLOCKED}.108.227
• {BLOCKED}.{BLOCKED}.2.142
• {BLOCKED}.{BLOCKED}.33.213
• {BLOCKED}.{BLOCKED}.82.126
• {BLOCKED}.{BLOCKED}.186.114
• {BLOCKED}.{BLOCKED}.114.123
• {BLOCKED}.{BLOCKED}.118.167
• {BLOCKED}.{BLOCKED}.41.162
• {BLOCKED}.{BLOCKED}.105.183
• {BLOCKED}.{BLOCKED}.219.203
• {BLOCKED}.{BLOCKED}.119.48
• {BLOCKED}.{BLOCKED}.226.168
• {BLOCKED}.{BLOCKED}.220.62
• {BLOCKED}.{BLOCKED}.17.22
• {BLOCKED}.{BLOCKED}.116.164
• {BLOCKED}.{BLOCKED}.61.110
• {BLOCKED}.{BLOCKED}.153.19
• {BLOCKED}.{BLOCKED}.142.187
• {BLOCKED}.{BLOCKED}.211.100

Beachten Sie, dass die Liste jederzeit geändert werden kann.

Versucht, Daten von den folgenden Banken und/oder anderen Geldinstituten zu entwenden:

• Auto Bus
• Banca Generali
• Bebo
• Blinx
• CA Technologies
• Comm100
• Csebo
• Deutsche Bank
• Facebook
• Gruppo Cedacri
• HB-Next
• Hi5
• Hotbar
• McAfee
• Microsoft
• Mochi Media
• Myspace
• NK Community Service
• Online CopyShop
• PosteItaliane
• Punjabi Janta Forums
• Revenue Agency
• SBI Securities
• SEB
• ScanScout
• South Tyrolean Sparkasse AG
• Twitter
• Vodafone
• Youtube
• db Corporate Banking Web
• 1FBUSA
• Android Market
• Bank of America
• Capital One Online Banking
• Charles Schwab
• Chase
• Citibank
• Citi® Credit Cards
• Fifth Third Bank
• GBW-Gruppe
• GEMoney
• Google
• HSBC
• Macys
• NetTeller
• Nordstrom Card Services
• Online Account Access
• PNC Bank
• PNC Card Services Online
• Partner Card Services
• Paypal
• Regions
• Sparda Net Banking
• Sun Trust
• U.S. Bank
• U.S. Bank Internet Banking
• USAA
• Wells Fargo
• Yahoo

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• http://{BLOCKED}lertmos.com/gameover2.php
• http://{BLOCKED}ncientmos.com/gameover2.php

Andere Details

Löscht sich nach der Ausführung selbst.