BKDR_MAMBA.A

Este malware no tiene ninguna rutina de propagación.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{string1} {string2}\{string1} {string2}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\{string1} {string2}\

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\{string 1}{string 2}
ImagePath = "%Application Data%\{string1} {string2}\{string1} {string2}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID1}\{GUID2}
{Default} = {encoded values}

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download and execute arbitrary file
• Send stolen information

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://{BLOCKED}lle.xyz/get/
• http://{BLOCKED}tate.xyz/get/
• http://{BLOCKED}hared.xyz/get/
• http://{BLOCKED}lper.xyz/get/
• http://{BLOCKED}word.xyz/get/
• http://{BLOCKED}vejob.xyz/get/
• http://{BLOCKED}erstore.xyz/get/
• http://{BLOCKED}erzip.xyz/get/
• http://{BLOCKED}de.xyz/get/
• http://{BLOCKED}nwind.xyz/get/

Robo de información

Recopila los siguientes datos:

• Volume Serial Number
• MAC Address
• OS Version
• System Type (32bit or 64 bit)
• Screen resolution
• OS Version Service Pack
• Current date and time
• Malware path and filename
• Malware ID and version

Información sustraída

Este malware guarda la información robada en el archivo siguiente:

• {Malware path}\{Malware filename}.dat