live casino online

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder b?sartige Benutzer ¨¹bertragen.

Sobald Benutzer auf eine der ¨¹berwachten Websites zugreifen, werden alle Tastatureingaben protokolliert. Versucht, Daten zu entwenden, wie z. B. Benutzernamen und Kennw?rter, die beim Anmelden auf Websites von Banken oder anderen Finanzdienstleistern verwendet werden.

Versucht, Daten von Banken oder Geldinstituten, die in einer Liste aufgef¨¹hrt sind, zu erhalten:

?bertragungsdetails

Wird als Spam-Mail-Anhang durch andere Malware/Grayware/Spyware oder b?sartige Benutzer ¨¹bertragen.

Infektionspunkte

Gelangt auf das System in Form einer Datei, die von den folgenden URLs heruntergeladen wurde:

• http://{BLOCKED}lo-sar.com/ost.exe

Installation

Schleust die folgenden Dateien ein:

• {malware path}\Setup.dll

Schleust Kopien von sich selbst in den Windows Systemordner ein und h?ngt bedeutungslose Codefragmente (so genannten Garbage-Code) an die Datei an, um eine leichte Erkennung zu verhindern. Die eingeschleusten Kopien verwenden die folgenden Dateinamen:

• %System\sdra64.exe

Anschlie?end werden die folgenden nicht b?sartigen Dateien erstellt:

• %System%\lowsec\local.ds - copy of the encrypted downloaded file
• %System%\lowsec\user.ds - used to save the gathered information

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

Erstellt die folgenden Ordner und legt f¨¹r diese die Attribute System und Versteckt fest, um zu verhindern, dass die darin befindlichen Komponenten von Benutzern entdeckt und entfernt werden:

• %System%\lowsec

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)

F¨¹gt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgef¨¹hrt wird:

• _AVIRA_2108

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgef¨¹hrt zu werden:

• legitimate WINLOGON.EXE and SVCHOST.EXE

Autostart-Technik

?ndert die folgenden Registrierungseintr?ge, um bei jedem Systemstart automatisch ausgef¨¹hrt zu werden:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe; %System\sdra64.exe;

(Note: The default value data of the said registry entry is %System%\userinit.exe;.)

Andere System?nderungen

Erstellt auch die folgenden Registrierungseintr?ge w?hrend der eigenen Installation:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Network
UID = {computer name}_{random numbers}

Datendiebstahl

Greift auf die folgende Site zu, um die eigene Konfigurationsdatei herunterzuladen:

• http://{BLOCKED}lo-sar.com/baki.bin

Sobald Benutzer auf eine der ¨¹berwachten Websites zugreifen, werden alle Tastatureingaben protokolliert.

Die heruntergeladene Datei enth?lt Informationen, wo die Malware eine aktualisierte Kopie von sich selbst herunterladen kann und wohin die entwendeten Daten gesendet werden sollen.

Beachten Sie, dass der Inhalt der Datei, d. h. die Liste der zu ¨¹berwachenden Websites, jederzeit ge?ndert werden kann.

Beachten Sie, dass die Liste jederzeit ge?ndert werden kann.

Versucht, Daten von den folgenden Banken und/oder anderen Geldinstituten zu entwenden:

• Bank of America

Angegriffene Elemente

Versucht, Daten von Banken oder Geldinstituten, die in einer Liste aufgef¨¹hrt sind, zu erhalten:

Einschleusungspunkte

Die besagte Datei wird anschlie?end ¨¹ber den folgenden URL ¨¹ber HTTP POST gesendet:

• http://{BLOCKED}lo-sar.com/gate.php

Andere Details

Zeigte beim Testen keine Backdoor-Routinen.