TSPY_DYRE.OYPA

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

Installation

Abhängig von der Plattform oder dem Betriebssystem werden die folgenden Dateien auf dem betroffenen Computer eingeschleust:

• %AppDataLocal%\ne9bzef6m8.dll (For Windows Vista and above)
• %System%\config\systemprofile\Application Data\ne9bzef6m8.dll (For Windows XP and below)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Abhängig von der Plattform oder dem Betriebssystem werden die folgenden Kopien von sich selbst auf dem betroffenen Computer eingeschleust:

• %Windows%\{random file name}.exe (For Windows XP and below)
• %AppDataLocal%\{random file name}.exe (For Windows Vista and above)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\pen3j3832h

Injiziert Code in die folgenden Prozesse:

• svchost.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
ImagePath = "%Windows%\{random file name}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
DisplayName = "Google Update Service"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = "%AppDataLocal%\{random file name}.exe" (For Windows Vista and above)

Registriert sich als Systemdienst, damit die Ausführung bei jedem Systemstart automatisch erfolgt, indem die folgenden Registrierungsschlüssel hinzufügt werden:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate (For Windows XP and below)

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Datendiebstahl

Folgende Daten werden gesammelt:

• Host Name
• Public IP Address
• OS Version
• User Name
• Computer Name
• OS platform
• Installed programs

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}.{BLOCKED}.178.37:443
• {BLOCKED}.{BLOCKED}.92.77:443
• {BLOCKED}.{BLOCKED}.63.46:443
• {BLOCKED}.{BLOCKED}.255.87:4443
• {BLOCKED}.{BLOCKED}.234.86:4443
• {BLOCKED}.{BLOCKED}.201.9:443
• {BLOCKED}.{BLOCKED}.152.131:443
• {BLOCKED}.{BLOCKED}.34.203:443
• {BLOCKED}.{BLOCKED}.239.215:443
• {BLOCKED}.{BLOCKED}.252.242:4443
• {BLOCKED}.{BLOCKED}.190.146:443
• {BLOCKED}.{BLOCKED}.190.167:443
• {BLOCKED}.{BLOCKED}.190.183:443
• {BLOCKED}.{BLOCKED}.190.26:443
• {BLOCKED}.{BLOCKED}.190.84:443
• {BLOCKED}.{BLOCKED}.191.144:443
• {BLOCKED}.{BLOCKED}.191.213:443
• {BLOCKED}.{BLOCKED}.255.131:443
• {BLOCKED}.{BLOCKED}.206.204:443
• {BLOCKED}.{BLOCKED}.81.96:4443
• {BLOCKED}.{BLOCKED}.58.238:4443
• {BLOCKED}.{BLOCKED}.14.89:443
• {BLOCKED}.{BLOCKED}.54.111:443
• {BLOCKED}.{BLOCKED}.59.238:443
• {BLOCKED}.{BLOCKED}.194.237:443
• {BLOCKED}.{BLOCKED}.115.88:443
• {BLOCKED}.{BLOCKED}.170.118:443
• {BLOCKED}.{BLOCKED}.202.197:443
• {BLOCKED}.{BLOCKED}.202.3:443
• {BLOCKED}.{BLOCKED}.169.178:443
• {BLOCKED}.{BLOCKED}.169.187:443
• {BLOCKED}.{BLOCKED}.23.130:443
• {BLOCKED}.{BLOCKED}.147.50:443
• {BLOCKED}.{BLOCKED}.15.70:443
• {BLOCKED}.{BLOCKED}.69.137:4443
• {BLOCKED}.{BLOCKED}.54.127:443
• {BLOCKED}.{BLOCKED}.235.48:443
• {BLOCKED}.{BLOCKED}.34.137:443
• {BLOCKED}.{BLOCKED}.219.35:443
• {BLOCKED}.{BLOCKED}.164.18:443
• {BLOCKED}.{BLOCKED}.54.22:443
• {BLOCKED}.{BLOCKED}.55.122:443
• {BLOCKED}.{BLOCKED}.55.12:443
• {BLOCKED}.{BLOCKED}.165.229:443
• {BLOCKED}.{BLOCKED}.177.95:443
• {BLOCKED}.{BLOCKED}.153.216:443
• {BLOCKED}.{BLOCKED}.79.84:443
• {BLOCKED}.{BLOCKED}.239.126:4443
• {BLOCKED}.{BLOCKED}.157.139:443
• {BLOCKED}.{BLOCKED}.74.70:443
• {BLOCKED}.{BLOCKED}.97.141:443
• {BLOCKED}.{BLOCKED}.71.88:4443
• {BLOCKED}.{BLOCKED}.178.46:4443