live casino online

Um einen ?berblick ¨¹ber das Verhalten dieser Worm zu erhalten, verwenden Sie das unten gezeigte Bedrohungsdiagramm.

Wird m?glicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen. Wird m?glicherweise von anderer Malware eingeschleust.

F¨¹gt Schl¨¹ssel/Eintr?ge hinzu, um sich selbst im abgesicherten Modus auszuf¨¹hren. Dies erschwert die Entfernung der Malware vom betroffenen Computer.

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein. Nutzt Software-Schwachstellen aus, um sich auf andere Computer in einem Netzwerk zu verbreiten.

Verbindet sich mit bestimmten URLs. Dadurch kann ein b?swilliger Benutzer extern ¨¹ber die Installation informiert werden. Es k?nnen auch m?glicherweise b?sartige Dateien auf den Computer heruntergeladen werden, so dass das Risiko einer Infektion durch andere Bedrohungen erh?ht wird. Anschlie?end werden die heruntergeladenen Dateien ausgef¨¹hrt. Dadurch k?nnen die b?sartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Diese Malware kann keine Daten stehlen.

?bertragungsdetails

Wird m?glicherweise von anderer Malware/Grayware/Spyware von externen Sites heruntergeladen.

Wird m?glicherweise von anderer Malware eingeschleust.

Wird m?glicherweise von den folgenden externen Sites heruntergeladen:

• http://{BLOCKED}9.88.8/spr.dll

Installation

Schleust die folgenden Eigenkopien in das betroffene System ein:

• %User Temp%\srv{random characters}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Schleust folgende nicht b?sartige Datei ein:

• %User Temp%\srv{Random Characters}.ini - configuration file

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

F¨¹gt sich in die folgenden Prozesse ein, die im Speicher des betroffenen Systems ausgef¨¹hrt werden:

• spoolsv.exe

Autostart-Technik

Registriert sich als Systemdienst, damit sie bei jedem Systemstart automatisch ausgef¨¹hrt wird, indem sie die folgenden Registrierungseintr?ge hinzuf¨¹gt:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
Type = "20"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ImagePath = "%System Root%\system32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
DisplayName = "srv{random characters}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}\parameters
servicedll = "\?\globalroot\Device\HarddiskVolume1\%User Temp%\srv{numbers}.tmp"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srv{random characters}\Security
Security = "{hex values}"

F¨¹gt die folgenden Schl¨¹ssel/Eintr?ge hinzu, um sich selbst im abgesicherten Modus auszuf¨¹hren:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
srv{Random Characters}

Andere System?nderungen

?ndert die folgenden Registrierungsschl¨¹ssel/-eintr?ge w?hrend der eigenen Installation:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netsvcs = "{Default Data} srv{Random Characters}"

(Note: The default value data of the said registry entry is {Default Data}.)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
CurrentLevel = "0"

(Note: The default value data of the said registry entry is 11000.)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Zones\3
1601 = "0"

(Note: The default value data of the said registry entry is 1.)

Erstellt den oder die folgenden Registrierungseintr?ge, um die Windows Firewall zu umgehen:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\ SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
67:UDP = "67:UDP:*:Enabled:DHCP Server"

Verbreitung

Schleust Kopien von sich selbst in alle Wechsellaufwerke ein.

Die besagte .INF-Datei enth?lt die folgenden Zeichenfolgen:

;{garbage characters}
[AutoRun]
AcTIOn=opeN
;{garbage characters}
IcON=%Windows%\SYstEm32\ShelL32.DLl,4
;{garbage characters}
UsEaUtoPlAy=1
;{garbage characters}
oPEN=RUNDLl32.EXe sETup{numbers}.foN,{parameters}
;{garbage characters}
SHElL\eXPLore\ComManD=ruNDLL32.EXe setup{numbers}.fON,{parameters}
;{garbage characters}
SHelL\Open\cOmmaNd=rundLL32.EXE sETUP{numbers}.fON,{parameters}
;{garbage characters}

(Hinweis: %Windows% ist der Windows Ordner, normalerweise C:\Windows oder C:\WINNT.)

Nutzt die folgenden Software-Schwachstellen aus, um sich auf andere Computer in einem Netzwerk zu verbreiten:

Download-Routine

Verbindet sich mit den folgenden b?sartigen URLs:

• http://{BLOCKED}.{BLOCKED}.49.103/sknock.php?affid={parameter}&data=version={parameter}|{infection information}
• http://{BLOCKED}.{BLOCKED}.112.138/service/listener.php?affid={Parameter}
• http://{BLOCKED}.{BLOCKED}.123.34/service/scripts/files/aff_50039.dll - inaccessible
• http://{BLOCKED}.{BLOCKED}.123.33/service/listener.php?affid=50039 - inaccessible

?ffnet die folgenden Websites, um Dateien herunterzuladen:

• http://{BLOCKED}8.{BLOCKED}2.189.105/service/listener.php?affid={numbers} - inaccessible
• http://{BLOCKED}8.{BLOCKED}2.189.105/service/scripts/files/aff_{numbers}.dll - inaccessible
• http://{BLOCKED}9.{BLOCKED}5.49.103/srv - configuration file
• http://{BLOCKED}9.{BLOCKED}5.49.103/dll - inaccessible
• http://{BLOCKED}9.{BLOCKED}5.49.103/exe - inaccessible
• http://{BLOCKED}5.{BLOCKED}4.112.136/dll - inaccessible
• http://{BLOCKED}5.{BLOCKED}4.112.136/srv - Configuration File
• http://{BLOCKED}5.{BLOCKED}4.112.136/exe - Copy of itself
• http://{BLOCKED}5.{BLOCKED}4.112.138/X - Copy of itself
• http://{BLOCKED}5.{BLOCKED}4.112.139/service/scripts/files/aff_{parameter}.dll - BKDR_TDSS.KARU
• http://{BLOCKED}.{BLOCKED}.210.72/service/listener.php?affid=50045 - inaccessible
• http://{BLOCKES}.{BLOCKED}.210.72//srv - inaccessible
• http://{BLOCKED}.{BLOCKED}.162.20/service/scripts/files/aff_50045.dll - BKDR_TDSS.ASH
• http://{BLOCKED}.{BLOCKED}.210.72/X - updated copy of itself
• http://{BLOCKED}.{BLOCKED}.210.72//dll - inaccessible
• http://{BLOCKED}4.{BLOCKED}0.123.34//srv ¨C inaccessible
• http://{BLOCKED}4.{BLOCKED}0.123.34/service/scripts/files/aff_50045.dll - detected as BKDR_TDSS.ASH
• http://{BLOCKED}4.{BLOCKED}0.123.34//dll ¨C inaccessible
• http://{BLOCKED}9.88.7/X - detected as BKDR_TDSS.ASH
• http://{BLOCKED}9.88.7/srv.dat - encrypted configuration file
• http://{BLOCKED}.{BLOCKED}.123.34/X - inaccessible
• http://{BLOCKED}8.{BLOCKED}9.89.121/X ¨C detected as TROJ_KRYPTK.SMUH
• http://{BLOCKED}8.{BLOCKED}9.89.121/exe ¨C inaccessible

Speichert die heruntergeladenen Dateien unter den folgenden Namen:

• %User Temp%\srv{Random Characters}.tmp

(Hinweis: %User Temp% ist der Ordner 'Temp' des aktuellen Benutzers, normalerweise C:\Dokumente und Einstellungen\{Benutzername}\Lokale Einstellungen\Temp unter Windows 2000, XP und Server 2003.)

Anschlie?end werden die heruntergeladenen Dateien ausgef¨¹hrt. Dadurch k?nnen die b?sartigen Routinen der heruntergeladenen Dateien auf dem betroffenen System aktiv werden.

Datendiebstahl

Diese Malware kann keine Daten stehlen.