TSPY_DYRE.RF

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen. Löscht sich nach der Ausführung selbst.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %AppDataLocal%\{random filename}.exe (for Windows Vista and above)
• %Windows%\{random filename}.exe (for Windows XP and below)

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Fügt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgeführt wird:

• Global\pen3j3832h

Injiziert Code in die folgenden Prozesse:

• explorer.exe
• svchost.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgeführt wird, indem sie die folgenden Registrierungseinträge hinzufügt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
ImagePath = "%Windows%\{random filename}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
DisplayName = "Google Update"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge
Start = "2"

Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = "%AppDataLocal%\{random filename}.exe" (for Windows Vista and above)

Andere Systemänderungen

Fügt die folgenden Registrierungsschlüssel hinzu:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ge (for Windows XP and below)

Ändert die folgenden Registrierungseinträge:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
LimitBlankPasswordUse = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fSingleSessionPerUser = "0"

(Note: The default value data of the said registry entry is 1.)

Einschleusungsroutine

Schleust die folgenden Dateien ein:

• %System%\config\systemprofile\Application Data\bq5uzce1f3.dll (for Windows XP and below)
• %AppDataLocal%\bq5uzce1f3.dll (for Windows Vista and above)

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Datendiebstahl

Folgende Daten werden gesammelt:

• Host Name
• Public IP Address
• Computer Name
• OS Version
• OS Platform
• User Accounts
• System Info(CPU, Memory, No. of Processors)
• Installed programs
• Services

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}.{BLOCKED}.239.126:4443
• {BLOCKED}.{BLOCKED}.16.30:443
• {BLOCKED}.{BLOCKED}.81.144:443
• {BLOCKED}.{BLOCKED}.92.90:443
• {BLOCKED}.{BLOCKED}.97.190:443
• {BLOCKED}.{BLOCKED}.92.77:443
• {BLOCKED}.{BLOCKED}.201.9:443
• {BLOCKED}.{BLOCKED}.164.18:443
• {BLOCKED}.{BLOCKED}.190.26:443
• {BLOCKED}.{BLOCKED}.219.35:443
• {BLOCKED}.{BLOCKED}.212.27:443
• {BLOCKED}.{BLOCKED}.74.70:443
• {BLOCKED}.{BLOCKED}.152.131:443
• {BLOCKED}.{BLOCKED}.206.204:443
• {BLOCKED}.{BLOCKED}.23.130:443
• {BLOCKED}.{BLOCKED}.54.22:443
• {BLOCKED}.{BLOCKED}.235.48:443
• {BLOCKED}.{BLOCKED}.14.89:443
• {BLOCKED}.{BLOCKED}.79.84:443
• {BLOCKED}.{BLOCKED}.170.118:443
• {BLOCKED}.{BLOCKED}.54.127:443
• {BLOCKED}.{BLOCKED}.97.141:443
• {BLOCKED}.{BLOCKED}.154.243:443
• {BLOCKED}.{BLOCKED}.229.49:443
• {BLOCKED}.{BLOCKED}.97.60:443
• {BLOCKED}.{BLOCKED}.33.98:443
• {BLOCKED}.{BLOCKED}.111.30:443
• {BLOCKED}.{BLOCKED}.192.36:443
• {BLOCKED}.{BLOCKED}.255.87:4443
• {BLOCKED}.{BLOCKED}.55.122:443
• {BLOCKED}.{BLOCKED}.115.88:443
• {BLOCKED}.{BLOCKED}.194.237:443
• {BLOCKED}.{BLOCKED}.34.137:443
• {BLOCKED}.{BLOCKED}.97.238:443
• {BLOCKED}.{BLOCKED}.255.131:443
• {BLOCKED}.{BLOCKED}.199.59:4443
• {BLOCKED}.{BLOCKED}.233.162:4443
• {BLOCKED}.{BLOCKED}.34.203:443
• {BLOCKED}.{BLOCKED}.144.195:4443
• {BLOCKED}.{BLOCKED}.61.101:443
• {BLOCKED}.{BLOCKED}.222.89:443
• {BLOCKED}.{BLOCKED}.63.46:443
• {BLOCKED}.{BLOCKED}.165.229:443
• {BLOCKED}.{BLOCKED}.157.139:443
• {BLOCKED}.{BLOCKED}.81.96:4443
• {BLOCKED}.{BLOCKED}.190.84:443
• {BLOCKED}.{BLOCKED}.191.213:443
• {BLOCKED}.{BLOCKED}.153.216:443
• {BLOCKED}.{BLOCKED}.239.215:443
• {BLOCKED}.{BLOCKED}.144:4433

Löscht sich nach der Ausführung selbst.