BKDR_ZACCESS.YJ

Se ejecuta y, a continuación, se elimina.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System Root%\RECYCLER\{SID}\$(random file name)

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Infiltra los archivos siguientes:

• %System Root%\RECYCLER\S-1-5-18\${random}\n
• %System Root%\RECYCLER\S-1-5-18\${random}\@
• %System Root%\RECYCLER\{SID}\${random}\n
• %System Root%\RECYCLER\{SID}\${random}\@

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Crea las carpetas siguientes:

• %System Root%\RECYCLER\S-1-5-18\${random}
• %System Root%\RECYCLER\S-1-5-18\${random}\L
• %System Root%\RECYCLER\S-1-5-18\${random}\U
• %System Root%\RECYCLER\{SID}\${random}
• %System Root%\RECYCLER\{SID}\${random}\L
• %System Root%\RECYCLER\{SID}\${random}\U

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Se ejecuta y, a continuación, se elimina.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InprocServer32
{Default} = "%System Root%\RECYCLER\{SID}\${random}\n."

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_CLASSES_ROOT\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\
InprocServer32
{Default} = "%System Root%\RECYCLER\S-1-5-18\${random}\n."

(Note: The default value data of the said registry entry is %System%\wbem\fastprox.dll.)

HKEY_CLASSES_ROOT\CLSID\{fbeb8a05-beee-4442-804e-409d6c4515e9}\
InProcServer32
{Default} = "%System Root%\RECYCLER\{SID}\${random}\n."

(Note: The default value data of the said registry entry is %System%\SHELL32.dll.)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InprocServer32
{Default} = "%System Root%\RECYCLER\S-1-5-18\${random}\n."

(Note: The default value data of the said registry entry is %System%\wbem\fastprox.dll.)

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_CLASSES_ROOT\CLSID\{fbeb8a05-beee-4442-804e-409d6c4515e9}\
InProcServer32
ThreadingModel = "Both"

(Note: The default value data of the said registry entry is Apartment.)

Elimina las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_WSCSVC

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_SHAREDACCESS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess