live casino online

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder b?sartige Benutzer ¨¹bertragen. It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

F¨¹hrt Befehle eines externen, b?swilligen Benutzers aus, wodurch das betroffene System gef?hrdet wird.

?bertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder b?sartige Benutzer ¨¹bertragen.

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Profile%\OEM\systeminfo.exe

(Hinweis: %User Profile% ist der Ordner f¨¹r Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

Schleust die folgenden Dateien ein:

• %Application Data%\remcos\logs.dat -> record of user's activities/keylogs

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

F¨¹gt die folgenden Prozesse hinzu:

• {malware path and file name}
• %Program Files%\Internet Explorer\iexplore.exe

(Hinweis: %Program Files%ist der Standardordner 'Programme', normalerweise C:\Programme.)

Erstellt die folgenden Ordner:

• %Application Data%\remcos
• %User Profile%\OEM

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{Benutzername}\AppData\Roaming on Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).. %User Profile% ist der Ordner f¨¹r Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT, C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000(32-bit), XP und Server 2003(32-bit) und C:\Users\{user name} unter Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) und 10(64-bit).)

F¨¹gt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgef¨¹hrt wird:

• Remcos_Mutex_Inj
• Remcos-{random}

Autostart-Technik

F¨¹gt folgende Registrierungseintr?ge hinzu, um bei jedem Systemstart automatisch ausgef¨¹hrt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Profile%\OEM\systeminfo.exe"

Andere System?nderungen

F¨¹gt die folgenden Registrierungseintr?ge hinzu:

HKEY_CURRENT_USER\Software\remcos_{Random}
exepath = {hex values}

HKEY_CURRENT_USER\Software\Remcos-{random}
licence = {random}

HKEY_CURRENT_USER\Software\Remcos-{random}
Inj = 1

Backdoor-Routine

F¨¹hrt die folgenden Befehle eines externen, b?swilligen Benutzers aus:

• Activate keylogger
• Capture audio, or stop capture
• Capture screen
• Change desktop wallpaper
• Change, pause, stop, or start a service
• Clear browser hisotry
• Close a window
• Close affected system's camera
• Close connection
• Connect to a specified server
• Control affected system's camera
• Deactive keylogger
• Delete registry key/entry
• Enumerate registry key/entry
• Modify/add registry entry
• Delete file or directory
• Download a file
• Read a file
• Save a file
• Upload a file
• Empty clipboard data
• Execute a command
• Get active program's window title
• Get clipboard data
• Get process ID of a window
• Get system information
• Hide or show a window
• List files in specified directory
• List installed applications
• List keyboard information
• List running processes
• List windows
• Log off, restart, or shut down the affected system
• Modify a window
• Play an audio in the affected system
• Restart itself
• Show message box
• Terminate a process
• Terminate itself
• Uninstall itself
• Update itself

Andere Details

F¨¹gt die folgenden Registrierungsschl¨¹ssel hinzu:

HKEY_CURRENT_USER\Software\Remcos-{random}

Es macht Folgendes:

• This Backdoor gathers the following information and reports it to its servers:
  • Computer Name
  • Operating System Version
  • Product Name
  • Primary Adapter
  • User Access (Admin or Non-admin)
  • User Profile
  • User Name
  • User Domain
  • Processor Revision No.
  • Processor Level
  • Processor Identifier
  • Processor Architecture
  • System Type (32-bit or 64-bit)