BKDR_KULUOZ.VLU

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Detalles de entrada

Este malware puede haberse descargado desde el/los sitio(s) remoto(s) siguiente(s):

• http://{BLOCKED}hosting.biz.ht/object.php?vib=61+pbq2ZRacFdllkhKRYLw

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %AppDataLocal%\{random file name}.exe

Agrega los procesos siguientes:

• svchost.exe

Este malware permanece como residente en memoria mediante la inyección de códigos en los siguientes procesos:

• created svchost.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%AppDataLocal%\{random file name}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{random}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\{random}
{random} = "{hex values}"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Sleep/Idle
• Download and execute arbitrary file
• Uninstall itself
• Download module and inject to svchost.exe
• Update itself
• Check latest malware version
• Manage registry

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.182.152:8080/index.php
• http://{BLOCKED}.{BLOCKED}.126.139:443/index.php
• http://{BLOCKED}.{BLOCKED}.21.210:443/index.php
• http://{BLOCKED}.{BLOCKED}.239.167:8080/index.php
• http://{BLOCKED}.{BLOCKED}.138.62:8080/index.php
• http://{BLOCKED}.{BLOCKED}.84.84:8080/index.php
• http://{BLOCKED}.{BLOCKED}.105.170:8080/index.php
• http://{BLOCKED}.{BLOCKED}.189.52:8080/index.php
• http://{BLOCKED}.{BLOCKED}.147.192:8080/index.php

Robo de información

Recopila los siguientes datos:

• Malware version
• Virtualization information
• Running debugger/forensic tools
• User name
• Local IP address
• Processor type
• OS version
• Antivirus product
• Firewall product