live casino online

Um einen ?berblick ¨¹ber das Verhalten dieser Spyware zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Wird m?glicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen. Wird m?glicherweise von anderer Malware eingeschleust. Wird m?glicherweise unwissentlich von einem Benutzer beim Besuch b?sartiger Websites heruntergeladen.

Erstellt Ordner und legt dort Dateien von sich ab. Wird m?glicherweise in folgende Prozesse injiziert, die im Arbeitsspeicher ausgef¨¹hrt werden:

Versucht, Daten zu entwenden, wie z. B. Benutzernamen und Kennw?rter, die beim Anmelden auf Websites von Banken oder anderen Finanzdienstleistern verwendet werden.

?bertragungsdetails

Wird m?glicherweise von der folgenden Malware/Grayware/Spyware von externen Sites heruntergeladen:

• PE_LICAT.A

Wird m?glicherweise von anderer Malware eingeschleust.

Wird m?glicherweise unwissentlich von einem Benutzer beim Besuch b?sartiger Websites heruntergeladen.

Wird m?glicherweise von den folgenden externen Sites heruntergeladen:

• http://{BLOCKED}kmzjwjtyzqj.org/news/?s=3

Installation

Schleust die folgenden Dateien ein:

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file

(Hinweis: %Application Data% ist der Ordner 'Anwendungsdaten' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Anwendungsdaten unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Anwendungsdaten unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Anwendungsdaten unter Windows 2000, XP und Server 2003.)

Erstellt Ordner und legt dort Dateien von sich ab.

Wird in die folgenden Prozesse injiziert, die im Arbeitsspeicher ausgef¨¹hrt werden:

• ctfmon.exe
• dwm.exe
• explorer.exe
• rdpclip.exe
• taskeng.exe
• taskhost.exe
• wscntfy.exe

Wird m?glicherweise in folgende Prozesse injiziert, die im Arbeitsspeicher ausgef¨¹hrt werden:

Autostart-Technik

F¨¹gt folgende Registrierungseintr?ge hinzu, um bei jedem Systemstart automatisch ausgef¨¹hrt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = {malware path and file name}

Andere System?nderungen

F¨¹gt die folgenden Registrierungseintr?ge als Teil der Installationsroutine hinzu:

HKEY_CURRENT_USER
CleanCookies = 0

HKEY_LOCAL_MACHINE
%Windows%\\\\EXPLORER.EXE = %Windows%\\EXPLORER.EXE:*:Enabled:Windows Explorer

Datendiebstahl

Greift auf die folgende Site zu, um die eigene Konfigurationsdatei herunterzuladen:

• {BLOCKED}mzjwjtyzqj.org/news/?s=2

Die heruntergeladene Datei enth?lt Informationen, wo die Malware eine aktualisierte Kopie von sich selbst herunterladen kann und wohin die entwendeten Daten gesendet werden sollen.

Beachten Sie, dass der Inhalt der Datei, d. h. die Liste der zu ¨¹berwachenden Websites, jederzeit ge?ndert werden kann.

Versucht, Daten von den folgenden Banken und/oder anderen Geldinstituten zu entwenden:

• Comm100 Live Chat
• Direkt Print
• Facebook
• Google Mail
• LivePerson
• McAfee
• Me.dium
• Microsoft
• Myspace
• Sbisec
• Twitter
• YouTube
• ANZ
• Barclays
• NSBC
• HSBC
• First Direct

Einschleusungspunkte

Entwendete Daten werden auf die folgenden Websites hochgeladen:

• {BLOCKED}mzjwjtyzqj.org/news/?s=

Informationen ¨¹ber Varianten

Verf¨¹gt ¨¹ber folgende MD5-Hash-Werte:

• f75a4692b5185286ac0b2ff02da0c32b

Verf¨¹gt ¨¹ber folgende SHA1-Hash-Werte:

• 017394d012a6412b42a3846e1c32f420cc146712