Backdoor.Win32.CARBANAK.A

Realiza escuchas en los puertos. Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Lee su archivo de configuración, el cual contiene comandos y datos diseñados para ser enviados a un servidor remoto.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Startup%\{random characters}.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• {random characters}

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• services.exe - if AVG Product is installed
• iexplore.exe - if Trend Micro Product is installed
• mstsc.exe - if Trend Micro Product is installed and iexplore.exe is not found
• svchost.exe

Rutina de puerta trasera

Realiza escuchas en los puertos siguientes:

• 443

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Execute commands specified in the configuration file
• Set the loaded state of the bot
• Run Ammyy plugin
• Update bot
• Use specified proxy settings
• Create or deletes a user with rights for RDP
• Delete specified service or file
• Download and executes a file in memory
• Retrieve user credentials using the mimikatz library
• Take a screenshot and sends it to the C&C server
• Run VNC plugin
• Uninstall bot
• List all running processes
• Initiate a reverse shell to the server

Lee su archivo de configuración, el cual contiene comandos y datos diseñados para ser enviados a un servidor remoto.

Otros detalles

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %All User Profile%\Application Data\Mozilla\{random characters}.bin