TSPY_URSNIF.TIBAIDO

它以其他(tā)恶意软件释放的文(wén)件或用(yòng)户访问恶意网站时不知不觉下载的文(wén)件的形式到达系统。它开始执行然后再删除。

新(xīn)病毒详细信息

它可(kě)能(néng)是由下列恶意软件/灰色软件/间谍软件从遠(yuǎn)程站点下载而来：

• TSPY_BEBLOH.YMNPV

安(ān)装(zhuāng)

它在受感染的系统中(zhōng)植入并执行下列自身副本：

• %Application Data%\{string1}{string2}\{string1}{string2}.exe
  where:
  • {string1} = first four letters of a dll file under System directory
  • {string2} = last four letters of a dll file under System directory

(注意: %Application Data% 是当前用(yòng)户的 Application Data 文(wén)件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它植入和执行下列文(wén)件：

• %User Temp%\{random folder name}\{random filename}.bat ← used to delete itself; deleted afterwards

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它向下列进程中(zhōng)注入代码：

• explorer.exe

自启动技(jì )术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%Application Data%\{string1}{string2}\{string1}{string2}.exe"

其他(tā)系统修改

它添加下列注册表键值:

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Vars =

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Files =

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Config =

它添加下列注册表项：

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
{UID} = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
{Value Name} = "{data}"

• Main
• Block
• Temp
• Client
• Ini
• Keys
• Scr
• LastTask
• LastConfig
• CrHook
• OpHook
• Exec
• TorClient
• TorCrc
• Install

植入例程

它在保存收集信息的位置植入下列文(wén)件：

• %User Temp%\{random filename}.bin

(注意: %User Temp% 是当前用(yòng)户的 Temp 文(wén)件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

信息窃取

它收集下列数据:

• Computer Name
• Digital Certificates
• Cookies
• Keyboard Logs
• Clipboard Logs
• Captured Screenshot
• Email Credentials
• Running processes and services
• Installed device drivers
• Installed Programs
• System Information (Please see notes for more details)
• IP Address

其他(tā)详细信息

它连接到下列网站，发送和接收信息：

• http://si{BLOCKED}is.com:443
• http://b{BLOCKED}o.com:443