TSPY_DYRE.EA

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %AppDataLocal%\{random filename}.exe (for Windows Vista and above)
• %Windows%\{random filename}.exe (for Windows XP and below)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Abhängig von der Plattform oder dem Betriebssystem werden die folgenden Dateien auf dem betroffenen Computer eingeschleust:

• %System%\config\systemprofile\Application Data\bq5uzce1f3.dll (for Windows XP and below)
• %AppDataLocal%\bq5uzce1f3.dll (for Windows Vista and above)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\pen3j3832h

Injiziert Code in die folgenden Prozesse:

• explorer.exe
• svchost.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
ImagePath = "%Windows%\{random filename}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
DisplayName = "Google Update"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
Start = "2"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
GoogleUpdate = "%AppDataLocal%\{random filename}.exe" (for Windows Vista and above)

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge (for Windows XP and below)

Andere Systemänderungen

Fügt die folgenden Registrierungseinträge hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SharedAccess\Parameters\
FirewallPolicy\FirewallRules
TCP Query User{GUID}%Windows%\explorer.exe = "v2.10|Action=Block|Active=TRUE|Dir=In|Protocol=6|Profile=Public|App=%Windows%\explorer.exe|Name=Windows Explorer|Desc=Windows Explorer|" (for Windows Vista and above)

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
LimitBlankPasswordUse = "0" (for Windows XP and below)

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = "0" (for Windows XP and below)

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fSingleSessionPerUser = "0" (for Windows XP and below)

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
cval = "0" (for Windows XP and below)

(Note: The default value data of the said registry entry is 1.)

Datendiebstahl

Folgende Daten werden gesammelt:

• Host Name
• Public IP Address
• Computer Name
• OS Version
• OS Platform
• User Accounts
• System Info(CPU, Memory, No. of Processors)
• Installed programs
• Services

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}.{BLOCKED}.223.146:4443
• {BLOCKED}.{BLOCKED}.145.138:4443
• {BLOCKED}.{BLOCKED}.65.224:4443
• {BLOCKED}.{BLOCKED}.224.143:4443
• {BLOCKED}.{BLOCKED}.194.108:4443
• {BLOCKED}.{BLOCKED}.224.118:4443
• {BLOCKED}.{BLOCKED}.231.42:4443
• {BLOCKED}.{BLOCKED}.247.133:4443
• {BLOCKED}.{BLOCKED}.75.159:4443
• {BLOCKED}.{BLOCKED}.131.104:4443
• {BLOCKED}.{BLOCKED}.249.18:443
• {BLOCKED}.{BLOCKED}.201.46:443
• {BLOCKED}.{BLOCKED}.154.139:4443
• {BLOCKED}.{BLOCKED}.236.26:4443
• {BLOCKED}.{BLOCKED}.236.249:4443
• {BLOCKED}.{BLOCKED}.239.63:4443
• {BLOCKED}.{BLOCKED}.69.94:4443
• {BLOCKED}.{BLOCKED}.191.222:443
• {BLOCKED}.{BLOCKED}.199.46:443
• {BLOCKED}.{BLOCKED}.19.156:443
• {BLOCKED}.{BLOCKED}.97.238:4443
• {BLOCKED}.{BLOCKED}.76.194:443
• {BLOCKED}.{BLOCKED}.114.244:4443
• {BLOCKED}.{BLOCKED}.178.70:443
• {BLOCKED}.{BLOCKED}.59.234:443
• {BLOCKED}.{BLOCKED}.100.179:443
• {BLOCKED}.{BLOCKED}.85.128:4443
• {BLOCKED}.{BLOCKED}.38.6:4443
• {BLOCKED}.{BLOCKED}.126.164:443
• {BLOCKED}.{BLOCKED}.134.145:4443
• {BLOCKED}.{BLOCKED}.134.166:4443
• {BLOCKED}.{BLOCKED}.61.31:443
• {BLOCKED}.{BLOCKED}.20.206:443
• {BLOCKED}.{BLOCKED}.230.100:4443
• {BLOCKED}.{BLOCKED}.197.166:4443
• {BLOCKED}.{BLOCKED}.25.136:4443
• {BLOCKED}.{BLOCKED}.48.175:443
• {BLOCKED}.{BLOCKED}.124.76:443
• {BLOCKED}.{BLOCKED}.191.206:4443
• {BLOCKED}.{BLOCKED}.179.70:4443
• {BLOCKED}.{BLOCKED}.220.102:4443
• {BLOCKED}.{BLOCKED}.197.77:4443
• {BLOCKED}.{BLOCKED}.2.228:443
• {BLOCKED}.{BLOCKED}.17.201:4443
• {BLOCKED}.{BLOCKED}.216.5:4443
• {BLOCKED}.{BLOCKED}.2.169:443
• {BLOCKED}.{BLOCKED}.61.197:443
• {BLOCKED}.{BLOCKED}.233.66:4443
• {BLOCKED}.{BLOCKED}.183.209:443
• {BLOCKED}.{BLOCKED}.67.254:443

Löscht sich nach der Ausführung selbst.