live casino online

Wird durch das Anschlie?en infizierter Wechsellaufwerke auf ein System ¨¹bertragen.

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuf¨¹hren, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.

?bertragungsdetails

Wird durch das Anschlie?en infizierter Wechsellaufwerke auf ein System ¨¹bertragen.

Installation

Schleust die folgenden Dateien ein:

• %User Temp%\E_N4\eAPI.fne
• %User Temp%\E_N4\eImgConverter.fne
• %User Temp%\E_N4\krnln.fnr
• %User Temp%\E_N4\PBShell.fne
• %User Temp%\E_N4\shell.fne
• %System Root%\OGa\RD\DesKTop.ini
• %User Temp%\srv{random}.ini
• %User Temp%\rstimgr.inf

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %System%\smsc.exe
• %System%\svchoct.exe
• %User Temp%\srv{3 random hexadecimal digits}.tmp
• %System Root%\OGa\RD\GOx.exe
• %Windows%\dllmgr.exe
• %Application Data%\Microsoft\IME\V2005\PHIME2002A.exe
• %User Temp%\srv{random}.tmp
• {Shared Folder}\setup50045.fon

(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.. %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.. %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.. %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %User Temp%\E_N4
• %System Root%\OGa
• %System Root%\OGa\RD
• %System Root%\RECYCLER\{SID}

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.. %System Root% ist der Stammordner, normalerweise C:\. Dort befindet sich auch das Betriebssystem.)

Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgef¨¹hrt zu werden:

• spoolsv.exe
• explorer.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgef¨¹hrt wird, indem sie die folgenden Registrierungseintr?ge hinzuf¨¹gt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\PrtSmanm
ImagePath = "{malware path and file name}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random hexadecimal number}
ImagePath = "{malware path and file name}"

F¨¹gt folgende Registrierungseintr?ge hinzu, um bei jedem Systemstart automatisch ausgef¨¹hrt zu werden.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{malware-defined name} = "{malware-defined entry name}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random}\parameters
{malware-defined name} = "{malware path and file name}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware-defined name} = "{malware path and file name}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{malware-defined name} = {malware path and file name}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{random CLSID}
StubPath = "{malware path and file name}"

F¨¹gt die folgenden Schl¨¹ssel hinzu, um sich selbst im abgesicherten Modus auszuf¨¹hren:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
srv{random hexadecimal number}

Andere System?nderungen

F¨¹gt die folgenden Registrierungseintr?ge als Teil der Installationsroutine hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Shell Extensions
{malware-defined name} = "{malware-defined entry name}"

?ndert die folgenden Registrierungseintr?ge:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(Note: The default value data of the said registry entry is 2.)

Erstellt den oder die folgenden Registrierungseintr?ge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{malware-defined name} = "{malware-defined entry name}"

Verbreitung

Erstellt die folgenden Ordner in allen Wechsellaufwerken:

• RECYCLER\S-1-5-21-2214276341-3544434524-6043330-4321
• OGa
• {Removable drive} letter:\{random characters}

Schleust folgende Kopie(n) von sich selbst in alle Wechsellaufwerke ein:

• {drive}:\RECYCLER\S-1-5-21-2214276341-3544434524-6043330-4321\update.exe
• {space}.exe
• setup1911.fon
• {Removable drive letter}:\{random characters}\{random characters}.exe

Legt eine AUTORUN.INF-Datei ab, um automatisch die eingeschleusten Kopien auszuf¨¹hren, wenn ein Benutzer auf die Laufwerke eines betroffenen Systems zugreift.