BKDR_SIMDA.PD

However, as of this writing, the said sites are inaccessible.

Instalación

Infiltra los archivos siguientes:

• %Application Data%\Mozilla\Firefox\Profiles\{user profile}\searchplugins\search.xml
• %Application Data%\{random name}.reg
• %Application Data%\mcp.ico
• %Desktop%\Computer.lnk
• %User Temp%\{random name}.sys - encrypted

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\ScanDisc.exe
• %Application Data%\{random name}.exe
• %User Temp%\{random number}.tmp

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random name} = "%Application Data%\{random name}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorUser = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows
update = "shortcut"

Rutina de puerta trasera

However, as of this writing, the said sites are inaccessible.

Rutina de descarga

Este malware descarga una copia actualizada de sí mismo desde el/los siguiente(s) sitio(s) Web:

• http://{BLOCKED}1.randomstring.com/?abbr=RTK&setupType=update&uid={random number}&ttl={random string}&controller=microinstaller&pid=3
• http://{BLOCKED}1.randomstring.com/update_c1eec.exe
• http://{BLOCKED}1.{BLOCKED}main.com/?abbr=RTK&action=download&setupType=umx&setupFileName=process_64.exe
• http://{BLOCKED}1.randomstring.com/?controller=hash

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\{random number}.exe
• %System Root%\text.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Modificar el archivo HOSTS

Este malware modifica los archivos HOSTS del sistema para redireccionar a los usuarios una vez que se accede al/a los sitio(s) Web siguiente(s):

• www.google-analytics.com
• ad-emea.doubleclick.net
• www.statcounter.com

Robo de información

Recopila los siguientes datos:

• Volume Information
• Language Information
• Computer Name
• Network Adapter
• SusClientId
• Product Id
• Windows Install Date