BKDR_TDSS.ASH

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones. Elimina entradas de registro para causar el funcionamiento incorrecto de aplicaciones y programas.

Se conecta a un sitio Web para enviar y recibir información.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

Puede haberlo descargado el siguiente malware/grayware/spyware desde sitios remotos:

• WORM_OTORUN.ASH

Este malware puede haberse descargado desde el/los sitio(s) remoto(s) siguiente(s):

• http://{BLOCKED}.162.20/service/scripts/files/aff_50045.dll
• http://{BLOCKED}123.34/service/scripts/files/aff_50045.dll
• http://{BLOCKED}9.88.7/X

Instalación

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Creates the mutex Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08 if the path of the executable file does not contain any of the following strings
  • explo
  • firefox
  • opera
  • safari
  • netsc
  • avant
  • browser
  • mozill
  • wuauclt
• Global\3006345f-6baf-4669-a7e1-aaa310564be9
• Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08
• Global\a68d7de8-eba6-4a54-90e0-9cb9d93b3ed7
• Global\cc51461b-e32a-4883-8e97-e0706dc65415
• Global\452fefe0-a06e-400f-8d6b-6a12a0a09d4b

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %System%\drivers\etc\hosts

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
67:UDP = "67:UDP:EnabledHCP Server"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\main\FeatureControl\
FEATURE_BROWSER_EMULATION
{executable name} = "{hex value}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
maxhttpredirects = "{hex value}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
enablehttp1_1 = "1"

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
zones\3
1601 = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
zones\3
1400 = "0"

(Note: The default value data of the said registry entry is 0.)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Internet Explorer\International
acceptlanguage = "{local}"

(Note: The default value data of the said registry entry is {user defined}.)

Elimina las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters
DhcpNameServer = "{Preferred DNS}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters
DhcpDomain = "localdomain"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpNameServer = "{Preferred DNS}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpDefaultGateway = "{Default Gateway}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpDomain = "localdomain"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpSubnetMaskOpt = "{Subnet Mask}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Adapter ID}\Parameters\
Tcpip
DhcpDefaultGateway = "{Default Gateway}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Adapter ID}\Parameters\
Tcpip
DhcpSubnetMaskOpt = "{Subnet Mask}"

Rutina de puerta trasera

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://{BLOCKED}update.com
• http://{BLOCKED}9.88.8/spr.dll - detected as WORM_OTORUN.ASH

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.193.171/
• http://{BLOCKED}i813ck.com/
• http://{BLOCKED}yt0.com/
• http://{BLOCKED}ckl1i1i.com/
• http://{BLOCKED}uke.com/
• http://{BLOCKED}cho.com/
• http://{BLOCKED}o81.com/
• http://{BLOCKED}o81.com/
• https://{BLOCKED}b6.com/
• https://{BLOCKED}im1.com/
• https://{BLOCKED}i71.com/
• https://{BLOCKED}ka.in/
• https://{BLOCKED}anno.com/