live casino online

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder b?sartige Benutzer ¨¹bertragen.

Verbindet sich mit einer Website, um Daten zu versenden und zu empfangen.

Stiehlt bestimmte Daten vom System und/oder dem Benutzer.

?bertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder b?sartige Benutzer ¨¹bertragen.

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %Application Data%\WINYS\{malware file name}.exe
• %System Root%\mswvc.exe
• %System%\mswvc.exe

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Schleust die folgenden Dateien ein:

• %Application Data%\WINYS\settings.ini -> Contains Encrypted Victim Key
• %Application Data%\WINYS\Data\importDll32 -> Encrypted module that steals information from Internet Applications
• %Application Data%\WINYS\Data\injectDll32 -> Encrypted module that monitors banking-related URLs and/or websites
• %Application Data%\WINYS\Data\mailsearcher32 -> Encrypted module that steals email from files in the infected machine
• %Application Data%\WINYS\Data\networkDll32 -> Encrypted module that steals network information
• %Application Data%\WINYS\Data\pwgrab32 -> Encrypted module that steals information from Internet Browser Applications, WinSCP, FileZilla, and Microsoft Outlook
• %Application Data%\WINYS\Data\systeminfo32 -> -> Encrypted module that steals information regarding the infected machine
• %Application Data%\WINYS\Data\tabDll32 -> Encrypted module that provides the propagation of the malware
• %Application Data%\WINYS\Data\shareDll32 -> Encrypted module that provides propagation via SMB
• %Application Data%\WINYS\Data\wormDll32 -> Encrypted module that provides propagation via SMB
• %Application Data%\WINYS\Data\injectDll32_configs\dinj -> Encrypted list of banking-related URLs and/or websites to monitor
• %Application Data%\WINYS\Data\injectDll32_configs\dpost -> Encrypted list of C&C servers that will receive the HTTP response to and from the monitored URLs and/or websites
• %Application Data%\WINYS\Data\injectDll32_configs\sinj -> Encrypted list of banking-related URLs and/or websites to phish
• %Application Data%\WINYS\Data\mailsearcher32_configs\mailconf -> Encrypted list of C&C servers that will receive the stolen email addresses
• %Application Data%\WINYS\Data\networkDll32_configs\dpost -> Encrypted list of C&C servers that will receive the stolen network information
• %Application Data%\WINYS\Data\pwgrab32_configs\dpost -> Encrypted list of C&C servers that will receive the credentials
• %Application Data%\WINYS\Data\psfin32 -> Encrypted module that identifies Point-Of-Sale systems within the network

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Application Data%\WINYS
• %Application Data%\WINYS\Data

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Autostart-Technik

F¨¹gt die folgenden Dienste hinzu und f¨¹hrt sie aus:

• Service Name: {random letters}
  
  • ImagePath: %System Root%\mswvc.exe or %System%\mswvc.exe
  • DisplayName: Can be either of the following:
    
    • ServiceTechno4
    • Service_Techno4
    • Technics-service3
    • TechnoServices3
    • Advanced-TechnicService0
    • ServiceTechno6
    • NewServiceTech3
    • Techserver6

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Backdoor-Routine

Verbindet sich mit den folgenden Websites, um Daten zu versenden und zu empfangen.

• {BLOCKED}.{BLOCKED}.233.82:449
• {BLOCKED}.{BLOCKED}.129.8:449
• {BLOCKED}.{BLOCKED}.62.43:449
• {BLOCKED}.{BLOCKED}.91.177:443
• {BLOCKED}.{BLOCKED}.39.94:443
• {BLOCKED}.{BLOCKED}.101.25:443
• {BLOCKED}.{BLOCKED}.141.255:449
• {BLOCKED}.{BLOCKED}.39.47:443
• {BLOCKED}.{BLOCKED}.160.33:449
• {BLOCKED}.{BLOCKED}.241.133:449
• {BLOCKED}.{BLOCKED}.54.187:449
• {BLOCKED}.{BLOCKED}.181.226:449
• {BLOCKED}.{BLOCKED}.69.70:449
• {BLOCKED}.{BLOCKED}.218.246:443
• {BLOCKED}.{BLOCKED}.91.118:449
• {BLOCKED}.{BLOCKED}.69.70:449
• {BLOCKED}.{BLOCKED}.173.10:443
• {BLOCKED}.{BLOCKED}.124.41:449
• {BLOCKED}.{BLOCKED}.5.113:449
• {BLOCKED}.{BLOCKED}.171.234:449
• {BLOCKED}.{BLOCKED}.20.66:449
• {BLOCKED}.{BLOCKED}.97.179:449
• {BLOCKED}.{BLOCKED}.182.112:449
• {BLOCKED}.{BLOCKED}.122.246:443
• {BLOCKED}.{BLOCKED}.126.250:449
• {BLOCKED}.{BLOCKED}.161.184:449
• {BLOCKED}.{BLOCKED}.50.85:443
• {BLOCKED}.{BLOCKED}.20.113:443
• {BLOCKED}.{BLOCKED}.74.84:449
• {BLOCKED}.{BLOCKED}.168.50:443
• {BLOCKED}.{BLOCKED}.159.129:449
• {BLOCKED}.{BLOCKED}.222.4:449
• {BLOCKED}.{BLOCKED}.221.65:447
• {BLOCKED}.{BLOCKED}.38.59:447
• {BLOCKED}.{BLOCKED}.204.66:447
• {BLOCKED}.{BLOCKED}.37.87:447

Datendiebstahl

Stiehlt folgende Daten:

• OS information (Architecture, Caption, CSDVersion)
• CPU Information (Name)
• Memory Information
• User Accounts
• Installed Programs
• Installed Services
• IP Configuration
• Network Information (Configuration, Users, Domain Settings)
• Email addresses
• Credentials in the following Applications:
  
  • Microsoft Outlook
  • Filezilla
  • WinSCP
• Internet Credentials (Internet Explorer, Microsoft Edge, Google Chrome, Mozilla Firefox):
  
  • Usernames and Passwords
  • Internet Cookies
  • Browsing History
  • Autofills
  • HTTP Posts responses
• Information regarding Point-Of-Sale (POS) systems in the network, by querying accounts or user name containing the following string:
  • *POS*
  • *REG*
  • *CASH*
  • *LANE*
  • *STORE*
  • *RETAIL*
  • *BOH*
  • *ALOHA*
  • *MICROS*
  • *TERM*