BKDR_FARFLI

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Program Files%\{random folder}\{random filename}.jpg

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

Crea las carpetas siguientes:

• %Program Files%\{random folder}

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

Este malware se inyecta en los siguientes procesos que se ejecutan en la memoria:

• svchost.exe

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SOFTWARE\{Random Key 1}\
Parameters
ServiceDll = "%Program Files%\{random folder}\{random filename}.jpg"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random key 2}\Parameters
ServiceDll = "%Program Files%\{random folder}\{random filename}.jpg"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\{Random Key 1}

HKEY_LOCAL_MACHINE\SOFTWARE\{Random Key 1}\
Parameters

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random key 2}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random key 2}\Parameters

Este malware modifica la(s) siguiente(s) entrada(s)/clave(s) de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
imgsvc = "StiSvc {random key 2}"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download and execute files
• Browses and manages files
• Start/Stop services
• Delete services
• Enumerate running processes
• Create processes
• Get drive information
• Get or change system information
• Perform remote shell
• View desktop
• Creates screen captures
• Record audio and webcam video
• Log keyboard and mouse activities
• Logs the user off
• Manipulate registry
• Get OS Version
• Get Host Name
• Shutdown Computer
• Open/Close a printer - Print a document
• Send stolen information

Robo de información

Recopila los siguientes datos:

• OS Version
• Host Name
• System Information
• Drive Information
• Keystrokes