TROJ_QBOT.DA

Verhindert, dass Benutzer Antiviren-bezogene Websites aufrufen können, die bestimmte Zeichenfolgen enthalten. Löscht sich nach der Ausführung selbst.

Installation

Fügt die folgenden Ordner hinzu:

• %User Profile%\Application Data\Microsoft\{Random}

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Profile%\Application Data\Microsoft\{Random}\{Random}.exe

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Fügt die folgenden, möglicherweise bösartigen Dateien oder Dateikomponenten hinzu:

• %User Profile%\APPLICATION DATA\MICROSOFT\{Random}\{Random}.dll

(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgeführt zu werden:

• explorer.exe
• iexplore.exe

Autostart-Technik

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random} = "%User Profile%\Application Data\Microsoft\{Random}\{Random}.exe"

Ändert die folgenden Registrierungseinträge, um bei jedem Systemstart automatisch ausgeführt zu werden:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
ctfmon.exe = "%User Profile%\Application Data\Microsoft\{Random}\{Random}.exe" /c %System%\ctfmon.exe"

(Note: The default value data of the said registry entry is "%System%\ctfmon.exe".)

Schleust die folgende Verknüpfung in den Ordner 'Autostart' ein, die auf die Kopie der eigenen Datei verweist, so dass diese bei jedem Systemstart automatisch ausgeführt wird:

• %User Startup%\{Random}.lnk

(Hinweis: %User Startup% ist der Ordner 'Autostart' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmenü\Programme\Autostart unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Startmenü\Programme\Autostart.)

Prozessbeendigung

Beendet Prozesse oder Dienste, die einen oder mehrere dieser Zeichenfolgen enthalten, wenn sie im Speicher des betroffenen Systems ausgeführt werden:

• msdev.exe
• dbgview.exe
• mirc.exe
• ollydbg.exe
• ctfmon.exe

Datendiebstahl

Überwacht auf dem betroffenen System die Aktivitäten von Internet Explorer (IE), insbesondere die Adressleiste. Erstellt eine rechtmäßige Website mit einer gefälschten Anmeldeseite, wenn ein Benutzer Banking-Websites mit den folgenden Zeichenfolgen in der Adressleiste und/oder Titelleiste besucht:

• .webcashmgmt.com;
• /achupload
• /achupload;
• /cashman/;
• /cashplus/;
• /cmserver/
• /cmserver/;
• /corpach/
• /corpach/;
• /payments/ach
• /payments/ach;
• /stbcorp/
• /stbcorp/;
• /wcmpr/
• /wcmpr/;
• /wcmpw/
• /wcmpw/;
• /wcmtr/
• /wcmtr/;
• /wires/;
• /wiret
• /wiret;
• abnamro.nl;
• access.jpmorgan.com;
• accessonline.abnamro.com;
• achbatchlisting
• achbatchlisting;
• business-eb.ibanking-services.com;
• businessaccess.citibank.citigroup.com;
• businessbankingcenter.synovus.com;
• businessinternetbanking.synovus.com;
• businessonline.huntington.com
• businessonline.huntington.com;
• businessonline.tdbank.com
• businessonline.tdbank.com;
• cashproonline.bankofamerica.com;
• cbs.firstcitizensonline.com
• cbs.firstcitizensonline.com;
• chsec.wellsfargo.com
• chsec.wellsfargo.com;
• commercial.wachovia.com
• commercial.wachovia.com;
• commercial2.wachovia.com
• commercial2.wachovia.com;
• commercial3.wachovia.com
• commercial3.wachovia.com;
• commercial4.wachovia.com
• commercial4.wachovia.com;
• corporatebanking;
• cpw-achweb.bankofamerica.com;
• directline4biz.com;
• directpay.wellsfargo.com;
• e-facts.org;
• e-moneyger.com;
• each.bremer.com;
• ebanking-services.com;
• essaccess.citibank.citigroup.com
• express.53.com;
• firstmeritib.com/defaultcorp.aspx;
• firstmeritib.com;
• goldleafach.com
• goldleafach.com;
• iachwellsprod.wellsfargo.com
• iachwellsprod.wellsfargo.com;
• ibc.klikbca.com;
• iris.sovereignbank.com;
• itreasury.regions.com;
• itreasurypr.regions.com;
• ktt.key.com;
• moneymanagergps.com;
• netconnect.bokf.com;
• ocm.suntrust.com;
• onlineserv/CM;
• otm.suntrust.com;
• paylinks.cunet.org;
• premierview.membersunited.org;
• providentnjolb.com;
• scotiaconnect.scotiabank.com
• scotiaconnect.scotiabank.com;
• securentrycorp.amegybank.com;
• singlepoint.usbank.com;
• svbconnect.com;
• tcfexpressbusiness.com
• tcfexpressbusiness.com
• tmconnectweb;
• treas-mgt.frostbank.com;
• treasury.pncbank.com;
• trz.tranzact.org
• trz.tranzact.org;
• tssportal.jpmorgan.com;
• ub-businessonline.blilk.com
• ub-businessonline.blilk.com;
• wc.wachovia.com
• wc.wachovia.com;
• wcp.wachovia.com
• wcp.wachovia.com;
• web-cashplus.com;
• webexpress.tdbank.com
• webexpress.tdbank.com;
• wellsoffice.wellsfargo.com
• wellsoffice.wellsfargo.com;

Entwendete Daten

Sendet die gesammelten Daten über HTTP-POST an den folgenden URL:

• {BLOCKED}ysgtap.co.in
• {BLOCKED}istr.in
• {BLOCKED}vtkn.in.ua
• {BLOCKED}son.in
• {BLOCKED}uytdk.info
• {BLOCKED}mentis.org

Andere Details

Verhindert, dass Benutzer Antiviren-bezogene Websites aufrufen können, die folgende Zeichenfolgen enthalten:

• explabs.
• sanasecurity
• phishtank.com
• hautesecure.com
• truste.com
• clearclouddns
• webroot.
• agnitum
• ahnlab
• arcabit
• avast
• avg
• avira
• avp
• bitdefender
• bit9
• castlecops
• centralcommand
• clamav
• comodo
• computerassociates
• cpsecure
• defender
• drweb
• emsisoft
• esafe
• .eset
• etrust
• ewido
• fortinet
• f-prot
• f-secure
• gdata
• grisoft
• hacksoft
• hauri
• ikarus
• jotti
• k7computing
• kaspersky
• malware
• mcafee
• networkassociates
• nod32
• norman
• norton
• panda
• pctools
• prevx
• quickheal
• rising
• rootkit
• securecomputing
• sophos
• spamhaus
• spyware
• sunbelt
• symantec
• threatexpert
• trendmicro
• virus
• wilderssecurity
• windowsupdate
• update.microsoft.
• download.microsoft.
• download.microsoft.

Löscht sich nach der Ausführung selbst.