TSPY_DYRE.MW

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Übertragungsdetails

Wird möglicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Installation

Abhängig von der Plattform oder dem Betriebssystem werden die folgenden Dateien auf dem betroffenen Computer eingeschleust:

• %System%\config\systemprofile\Application Data\nw9vbe8cc4.dll (for Windows XP and lower)
• %AppDataLocal%\nw9vbe8cc4.dlll (for Windows Vista and higher)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Schleust die folgenden Eigenkopien in das betroffene System ein und führt sie aus:

• %Windows%\{random filename}.exe (for Windows XP and lower)
• %AppDataLocal%\{random filename}.exe (for Windows Vista and higher)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\zx5fwtw4ep

Injiziert Code in die folgenden Prozesse:

• explorer.exe
• svchost.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
ImagePath = "%Windows%\{random filename}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
DisplayName = "Google Update Service"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = "%AppDataLocal%\{random filename}.exe" (for Windows Vista and higher)

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate (for Windows XP and lower)

Datendiebstahl

Folgende Daten werden gesammelt:

• Host Name
• Public IP Address
• OS Version
• User Name
• Computer Name
• OS platform
• Installed programs

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}.{BLOCKED}.69.159:4443
• {BLOCKED}.{BLOCKED}.34.137:443
• {BLOCKED}.{BLOCKED}.40.82:443
• {BLOCKED}.{BLOCKED}.97.196:443
• {BLOCKED}.{BLOCKED}.143.37:4443
• {BLOCKED}.{BLOCKED}.241.244:4443
• {BLOCKED}.{BLOCKED}.69.151:4443
• {BLOCKED}.{BLOCKED}.224.45:443
• {BLOCKED}.{BLOCKED}.178.46:4443
• {BLOCKED}.{BLOCKED}.239.151:4443
• {BLOCKED}.{BLOCKED}.254.183:443
• {BLOCKED}.{BLOCKED}.228.155:443
• {BLOCKED}.{BLOCKED}.122.136:4443
• {BLOCKED}.{BLOCKED}.249.207:443
• {BLOCKED}.{BLOCKED}.53.142:4443
• {BLOCKED}.{BLOCKED}.52.192:443
• {BLOCKED}.{BLOCKED}.97.215:4443
• {BLOCKED}.{BLOCKED}.98.248:4443
• {BLOCKED}.{BLOCKED}.98.128:443
• {BLOCKED}.{BLOCKED}.243.60:4443
• {BLOCKED}.{BLOCKED}.54.100:4443
• {BLOCKED}.{BLOCKED}.138.33:4443
• {BLOCKED}.{BLOCKED}.98.232:4443
• {BLOCKED}.{BLOCKED}.40.82:443
• {BLOCKED}.{BLOCKED}.69.172:4443
• {BLOCKED}.{BLOCKED}.250.93:443
• {BLOCKED}.{BLOCKED}.138.151:4443
• {BLOCKED}.{BLOCKED}.233.138:4443
• {BLOCKED}.{BLOCKED}.40.44:4443
• {BLOCKED}.{BLOCKED}.99.217:443
• {BLOCKED}.{BLOCKED}.91.230:443
• {BLOCKED}.{BLOCKED}.88.84:4443
• {BLOCKED}.{BLOCKED}.41.34:4443
• {BLOCKED}.{BLOCKED}.74.70:443
• {BLOCKED}.{BLOCKED}.114.243:443
• {BLOCKED}.{BLOCKED}.96.214:443
• {BLOCKED}.{BLOCKED}.177.142:4443
• {BLOCKED}.{BLOCKED}.52.191:443
• {BLOCKED}.{BLOCKED}.97.216:443
• {BLOCKED}.{BLOCKED}.101.221:4443
• {BLOCKED}.{BLOCKED}.69.144:443
• {BLOCKED}.{BLOCKED}.239.151:443
• {BLOCKED}.{BLOCKED}.108.85:443
• {BLOCKED}.{BLOCKED}.78.201:443
• {BLOCKED}.{BLOCKED}.98.108:4443
• {BLOCKED}.{BLOCKED}.191.212:443

Löscht sich nach der Ausführung selbst.