BKDR_REDLEAVES.LCLF

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Instalación

Agrega los procesos siguientes:

• svchost.exe

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• E67568Sj

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• created svchost.exe

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Execute commands using command prompt
• Send the following system information:
  • System name
  • System architecture
  • Operating system minor and major version
  • Memory
  • CPU information
  • Language
  • Privlige of the current process
  • Group permissions
  • System uptime
  • IP address
• Upload/Download files
• Update itself
• List drives, files and folders
• Delete files
• Create/Read/Write to a *.tmp file
• Execute files
• Terminate processes

Otros detalles

Requiere la existencia de los archivos siguientes para ejecutarse correctamente:

• VMwareHostOpen.exe → Non-malicious, executable that calls the malicious export located within the malware.
• hgfs.dll → Non-malicious, needed by VMwareHostOpen.exe to properly run.
• VMware.S82D → encrypted shellcode used by the malware.