live casino online

Wird m?glicherweise von anderer Malware eingeschleust.

Diese Malware hat keine Verbreitungsroutine.

Diese Malware hat keine Backdoor-Routine.

Wenn ein Benutzer dem Kauf der Software zustimmt, wird eine Verbindung zu einem bestimmten URL hergestellt. Zeigt Benutzern gef?lschte Warnmeldungen ¨¹ber eine Infektion an. Zeigt au?erdem gef?lschte Scanergebnisse des betroffenen Systems an. Nach Abschluss der ?berpr¨¹fung werden die Benutzer aufgefordert, die Betr¨¹gersoftware zu kaufen. Wenn Benutzer sich zum Kauf der Betr¨¹gersoftware entscheiden, werden sie zu einer Website weitergeleitet, auf der sie nach sensiblen Daten gefragt werden, beispielsweise nach der Kreditkartennummer. Ein Fenster wird angezeigt, in dem die Benutzer dieses gef?lschte Antivirenprogramm kaufen k?nnen.

?bertragungsdetails

Wird m?glicherweise von der folgenden Malware eingeschleust:

• TROJ_DLOADR.BUTH

Installation

Schleust folgende Dateien/Komponenten ein:

• {All Users' Profile}\Application Data\pcdfdata\app.ico
• {All Users' Profile}\Application Data\pcdfdata\defs.bin - contains downloaded malware information
• {All Users' Profile}\Application Data\pcdfdata\support.ico
• {All Users' Profile}\Application Data\pcdfdata\uninst.ico
• %Desktop%\Security Defender.lnk
• %Start Menu%\Programs\Security Defender\Remove Security Defender.lnk
• %Start Menu%\Programs\Security Defender\Security Defender Help and Support.lnk
• %Start Menu%\Programs\Security Defender\Security Defender.lnk

(Hinweis: %Desktop% ist der Ordner 'Desktop' f¨¹r den aktuellen Benutzer, normalerweise C:\Windows\Profile\{Benutzername}\Desktop unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Desktop unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername}\Desktop unter Windows 2000, XP und Server 2003.. %Start Menu% ist der Ordner 'Startmen¨¹' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmen¨¹ unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmen¨¹ unter Windows NT und C:\Windows\Startmen¨¹ oder C:\Dokumente und Einstellungen\{Benutzername}\Startmen¨¹ unter Windows 2000, XP und Server 2003.)

Erstellt die folgenden Ordner:

• %Start Menu%\Programs\Security Defender

(Hinweis: %Start Menu% ist der Ordner 'Startmen¨¹' des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername}\Startmen¨¹ unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername}\Startmen¨¹ unter Windows NT und C:\Windows\Startmen¨¹ oder C:\Dokumente und Einstellungen\{Benutzername}\Startmen¨¹ unter Windows 2000, XP und Server 2003.)

F¨¹gt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgef¨¹hrt wird:

• Global\wdshield

Autostart-Technik

F¨¹gt folgende Registrierungseintr?ge hinzu, um bei jedem Systemstart automatisch ausgef¨¹hrt zu werden.

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
pcdfsvc = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe /min"

Andere System?nderungen

F¨¹gt die folgenden Registrierungsschl¨¹ssel hinzu:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata

HKEY_CLASSES_ROOT\.exe\DefaultIcon

HKEY_CLASSES_ROOT\.exe\shell

HKEY_CLASSES_ROOT\.exe\shell\
open

HKEY_CLASSES_ROOT\.exe\shell\
open\command

HKEY_CLASSES_ROOT\.exe\shell\
runas

HKEY_CLASSES_ROOT\.exe\shell\
runas\command

HKEY_CURRENT_USER\Software\Classes\
.exe

HKEY_CURRENT_USER\Software\Classes\
.exe\shell

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command

F¨¹gt die folgenden Registrierungseintr?ge hinzu:

HKEY_CLASSES_ROOT\.exe\DefaultIcon
{Default} = "%1"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
{Default} = ""{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe" /ex "%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
IsolatedCommand = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
{Default} = ""%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
runas\command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe
{Default} = "4g"

HKEY_CURRENT_USER\Software\Classes\
.exe Content
Type = "application/x-m"

HKEY_CURRENT_USER\Software\Classes\
.exe\DefaultIcon
{Default} = "%1"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
{Default} = ""{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe" /ex "%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\open\
command
IsolatedCommand = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
{Default} = ""%1" %*"

HKEY_CURRENT_USER\Software\Classes\
.exe\shell\runas\
command
IsolatedCommand = ""%1" %*"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
DisplayName = "Security Defender"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
InstallLocation = "{All Users' Profile}\Application Data\pcdfdata"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
UninstallString = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe /tout"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
pcdfdata
DisplayIcon = "{All Users' Profile}\Application Data\pcdfdata\{TROJ_DLOADR.BUTH file name}.exe,0"

?ndert die folgenden Registrierungseintr?ge:

HKEY_CLASSES_ROOT\.exe
{Default} = "4g"

(Note: The default value data of the said registry entry is exefile.)

HKEY_CLASSES_ROOT\.exe
Content Type = "application/x-m"

(Note: The default value data of the said registry entry is application/x-msdownload.)

Verbreitung

Diese Malware hat keine Verbreitungsroutine.

Backdoor-Routine

Diese Malware hat keine Backdoor-Routine.

Rogue-Antiviren-Routine

Zeigt die folgenden gef?lschten Warnmeldungen an:

Wenn ein Benutzer dem Kauf der Software zustimmt, wird eine Verbindung zu folgendem URL hergestellt, um den Kauf fortzusetzen:

• https://{BLOCKED}.{BLOCKED}ng.com/billing/key/?uid={value}

Zeigt Benutzern gef?lschte Warnmeldungen ¨¹ber eine Infektion an. Zeigt au?erdem gef?lschte Scanergebnisse des betroffenen Systems an. Nach Abschluss der ?berpr¨¹fung werden die Benutzer aufgefordert, die Betr¨¹gersoftware zu kaufen. Wenn Benutzer sich zum Kauf der Betr¨¹gersoftware entscheiden, werden sie zur folgenden Website weitergeleitet und nach sensiblen Daten gefragt, beispielsweise nach der Kreditkartennummer:

• https://{BLOCKED}.{BLOCKED}ng.com/html/billing/?uid={value}

Benutzern wird das folgende Fenster zum Kauf des gef?lschten Antivirenprogramms angezeigt:

Zeigt das folgende Fenster an, und gibt vor, das System zu ¨¹berpr¨¹fen: