live casino online

Verwendet den Windows Task-Planer, um einen geplanten Task zu erstellen, der die eingeschleuste Kopie ausf¨¹hrt.

Verbindet sich mit einer bestimmten Website, um Daten zu versenden und zu empfangen.

?bertragungsdetails

Wird m?glicherweise von den folgenden externen Sites heruntergeladen:

• http://www.{BLOCKED}low.co/ChromeSetup.exe
• http://{BLOCKED}talmarketing.com/chrome.exe
• http://{BLOCKED}adsclub.com/ChromeSetup.exe
• http://{BLOCKED}acbrown.co.uk/ChromeSetup.exe
• http://www.{BLOCKED}ordie.land/ChromeSetup.exe
• http://{BLOCKED}enblood.com/ChromeSetup.exe
• http://www.{BLOCKED}rt.com/ChromeSetup.exe
• http://www.{BLOCKED}stxmas.com/ChromeSetup.exe
• http://www.{BLOCKED}avernaalmonte.com/chrome.exe

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein und f¨¹hrt sie aus:

• %User Temp%\{random file name 3}.exe

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %All Users Profile%\Application Data\{random file name 1}.html - contains list of encrypted files
• %All Users Profile%\Application Data\{randomly selected folder}\{random file name 2} - private key
• %Application Data%\06 - Clark Gable.mp3 - encrypted TROJ_CRYPCTB.YUX
• %User Profile%\My Documents\Decrypt-All-Files-{random letters}.bmp - wallpaper
• %User Profile%\My Documents\Decrypt-All-Files-{random letters}.txt - ransome note in .txt file
• %System%\config\systemprofile\My Documents\!Decrypt-All_Files-{random letters}.bmp - wallpaper
• %System%\config\systemprofile\My Documents\!Decrypt-All_Files-{random letters}.txt - ransom note in .txt file
• %Windows%\Tasks\{random file name 4}.job - points to %User Temp%\{random file name 3}.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %User Profile% ist der Ordner f¨¹r Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Verwendet den Windows Task-Planer, um einen geplanten Task zu erstellen, der die eingeschleuste Kopie ausf¨¹hrt.

Injiziert Code in die folgenden Prozesse:

• svchost.exe
• explorer.exe

Autostart-Technik

Die zeitgesteuerte Aufgabe f¨¹hrt die Malware in folgenden Intervallen aus:

• startup

Andere System?nderungen

?ndert das Hintergrundbild des Desktops durch Ab?nderung der folgenden Registrierungseintr?ge:

HKEY_CURRENT_USER\Control Panel\Desktop
TileWallpaper = "0"

(Note: The default value data of the said registry entry is {user-defined}.)

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%User Profile%\My Documents\!Decrypt-All_Files-{random letters}.bmp"

(Note: The default value data of the said registry entry is {user-defined}.)

Andere Details

Verbindet sich mit der folgenden Website, um Daten zu versenden und zu empfangen:

• {BLOCKED}ew3e7ao3q.onion
• {BLOCKED}taew3e7ao3q.onion.cab
• {BLOCKED}staew3e7ao3q.tor2web.org
• {BLOCKED}qabmvfnw4wp4.onion.gq
• {BLOCKED}abmvfnw4wp4.onion.lt
• {BLOCKED}abmvfnw4wp4.onion.cab
• {BLOCKED}abmvfnw4wp4.tor2web.blutmagie.de
• {BLOCKED}bmvfnw4wp4.tor2web.org
• {BLOCKED}bmvfnw4wp4.tor2web.fi
• {BLOCKED}vfnw4wp4.tor2web.blutmagie.de

Verschl¨¹sselt Dateien mit den folgenden Erweiterungen:

• 3fr
• 7z
• abu
• accdb
• ai
• arp
• arw
• bas
• bay
• bdcr
• bdcu
• bdd
• bdp
• bds
• blend
• bpdr
• bpdu
• bsdr
• bsdu
• c
• cdr
• cer
• config
• cpp
• cr2
• crt
• crw
• cs
• dbf
• dbx
• dcr
• dds
• dd
• der
• dng
• docm
• doc
• docx
• dwg
• dxf
• dxg
• eps
• erf
• fdb
• gdb
• groups
• gsd
• gsf
• ims
• indd
• iss
• jpeg
• jpe
• jpg
• js
• kdc
• kwm
• mdb
• md
• mdf
• mef
• mrw
• nef
• nrw
• odb
• odm
• odp
• ods
• odt
• orf
• p12
• p7b
• p7c
• pas
• pdd
• pdf
• pef
• pem
• pfx
• php
• pl
• pptx
• ppt
• pptm
• psd
• pst
• ptx
• pwm
• py
• r3d
• raf
• rar
• raw
• rgx
• rik
• rtf
• rw2
• rwl
• safe
• sql
• srf
• srw
• txt
• vsd
• wb2
• wpd
• wps
• xlk
• xls
• xlsb
• xlsm
• xlsx
• zip

Benennt verschl¨¹sselte Dateien in folgende Namen um:

• {original file name}.{random letters}