TSPY_URSNIF.TIBAIDO

它可能是由远程站点的其他恶意软件/灰色软件/间谍软件下载而来。

它连接到某个网站，发送和接收信息。

新病毒详细信息

它可能是由下列恶意软件/灰色软件/间谍软件从远程站点下载而来：

• TSPY_BEBLOH.YMNPV

安装

它在受感染的系统中植入并执行下列自身副本：

• %Application Data%\{string1}{string2}\{string1}{string2}.exe
  where:
  • {string1} = first four letters of a dll file under System directory
  • {string2} = last four letters of a dll file under System directory

(注意: %Application Data% 是当前用户的 Application Data 文件夹，通常位于 C:\Windows\Profiles\{user name}\Application Data (Windows 98 和 ME)、C:\WINNT\Profiles\{user name}\Application Data (Windows NT) 和 C:\Documents and Settings\{user name}\Local Settings\Application Data (Windows 2000、XP 和 Server 2003)。)

它植入和执行下列文件：

• %User Temp%\{random folder name}\{random filename}.bat ← used to delete itself; deleted afterwards

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

它向下列进程中注入代码：

• explorer.exe

自启动技术

它添加下列注册表项，在系统每次启动时自行执行：

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%Application Data%\{string1}{string2}\{string1}{string2}.exe"

其他系统修改

它添加下列注册表键值:

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Vars =

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Files =

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
Config =

它添加下列注册表项：

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
{UID} = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{GUID}
{Value Name} = "{data}"

• Main
• Block
• Temp
• Client
• Ini
• Keys
• Scr
• LastTask
• LastConfig
• CrHook
• OpHook
• Exec
• TorClient
• TorCrc
• Install

植入例程

它在保存收集信息的位置植入下列文件：

• %User Temp%\{random filename}.bin

(注意: %User Temp% 是当前用户的 Temp 文件夹。通常位于 C:\Documents and Settings\{user name}\Local Settings\Temp (Windows 2000、XP 和 Server 2003)。)

信息窃取

它收集下列数据:

• Computer Name
• Digital Certificates
• Cookies
• Keyboard Logs
• Clipboard Logs
• Captured Screenshot
• Email Credentials
• Running processes and services
• Installed device drivers
• Installed Programs
• System Information (Please see notes for more details)
• IP Address

其他详细信息

它连接到下列网站，发送和接收信息：

• http://si{BLOCKED}is.com:443
• http://b{BLOCKED}o.com:443