TSPY_ZBOT.YUYAM

Ändert Zoneneinstellungen von Internet Explorer.

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\wsdfvsxr\wsdfvsxe.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %Application Data%\wsdfvsxr\wsdfvsxe.bat
• %Application Data%\{random 1}\{random filename 1}.exe <-- detected as TSPY_ZBOT.SMJV
• %User Temp%\FB_{characters 1}.tmp.exe <-- detected as TSPY_ZBOT.SMJV
• %User Temp%\FB_{characters 2}.tmp.exe

Schleust folgende nicht bösartigen Dateien ein:

• %User Temp%\FB_{characters 1}.tmp
• %User Temp%\FB_{characters 2}.tmp
• %Application Data%\{random 2}\{random filename 2}.{random ext}
• %Application Data%\Microsoft\Address Book\{user name}.wab
• %Application Data%\Microsoft\Address Book\{user name}.wab~
• %AppDataLocal%\Identities\{CLSID}\Microsoft\Outlook Express\Folders.dbx
• %AppDataLocal%\Identities\{CLSID}\Microsoft\Outlook Express\Inbox.dbx
• %AppDataLocal%\Identities\{CLSID}\Microsoft\Outlook Express\Offline.dbx
• %AppDataLocal%\Identities\{CLSID}\Microsoft\Outlook Express\Sent Items.dbx
• %Application Data%\{random 2}\{random filename 2}.tmp
• %Application Data%\dclogs\{date}-2.dc

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\wsdfvsxr
• %User Profile%\Application Data\{random 1}
• %User Profile%\Application Data\{random 2}
• %Application Data%\Microsoft\Address Book
• %Application Data%\Identities\{CLSID}
• %Application Data%\Identities\{CLSID}\Microsoft
• %Application Data%\Identities\{CLSID}\Microsoft\Outlook Express
• %Application Data%\dclogs

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' für den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgeführt zu werden:

• %Windows%\explorer.exe

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = "%Application Data%\{random 1}\{random filename 1}.exe"

Schleust die folgenden Dateien in den benutzerspezifischen Autostart-Ordner von Windows ein, um sich selbst bei jedem Systemstart auszuführen.

• %User Startup%\wsdfvsx.vbs

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
WAB

HKEY_CURRENT_USER\Software\DC3_FEXEC

HKEY_CURRENT_USER\Software\Microsoft\
{random characters}

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = 1

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = 0

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = 0

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab\
Wab File Name
(Default) = %Application Data%\Microsoft\Address Book\{user name}.wab

HKEY_CURRENT_USER\Software\Microsoft\
{random characters}
{random characters} = {hex values}

Änderung der Startseite von Webbrowser und Suchseite

Ändert Zoneneinstellungen von Internet Explorer.

Download-Routine

Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.