BKDR_QUSARRAT.A

Crea carpetas donde infiltra sus archivos.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\SubDir\Client.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea carpetas donde infiltra sus archivos.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• MUTEX_OBFbLxWIM8FvuSNev1

Técnica de inicio automático

Permite su ejecución automática cada vez que se inicia el sistema al crear las siguientes copias de sí mismo dentro de la carpeta de inicio común de Windows:

• %User Startup%\scvhost.vbs -> used to execute {Malware path}\{Malware Name}.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Update Connection
• Restart Connection
• Disconnect Connection
• Uninstall itself
• View System Information
• Open File Manager
• Open Startup Manager
• Open Task Manager
• Open Remote Shell
• Open TCP Connections (IPv4 and IPv6 support)
• Reverse Proxy (SOCKS5)
• Open Registry Editor
• Elevate Client Permissions
• Computer Commands
  • Restart
  • Shutdown
  • Standby
• Remote Desktop
• Remote Webcam
• Password Recovery (Common Browsers and FTP Clients)
• Keylogger (Unicode Support)
• Download Files
• Execute Files
• Visit Website (hidden & visible)
• Show Messagebox

Rutina de infiltración

Este malware infiltra el/los siguiente(s) archivo(s), que utiliza para su rutina de captura de teclado:

• %Application Data%\Logs\MM-DD-YYYY -> {Current Date}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).