DDoS.Win32.NITOL.MKH

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %User Temp%\IR{Random Characters}.tmp\

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Infiltra los archivos siguientes:

• %User Temp%\hrl{Random Characters}.tmp
• %System%\hyfzag.exe
• %User Temp%\SOFTWARE.LOG
• {Infected Directory}\lpk.dll → copy of itself

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• %User Temp%\hrl{Random Characters}.tmp
• %System%\hyfzag.exe
• %System%\sc.exe start w32time task_started
• %System%\svchost.exe -k netsvcs
• find /i "lpk.dll"
• "%ProgramFiles%\WinRAR\rar.exe" x "{Fullpath of zip/rar file}" *.exe "%User Temp%\IR{Random Characters}.tmp\"
• cmd /c RD /s /q "%User Temp%\IR{Random Characters}.tmp"
• cmd /c %ProgramFiles%\WinRAR\rar.exe vb "{Fullpath of zip/rar file}" lpk.dll|find /i "lpk.dll"
• "%Program Files%\WinRAR\rar.exe" a -r -ep1"%User Temp%\IRA740.tmp" "{Fullpath of zip/rar file}" "%User Temp%\IRA740.tmp\lpk.dll"

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %User Temp%\hrl{Random Characters}.tmp
• %User Temp%\SOFTWARE.LOG

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Otros detalles

Hace lo siguiente:

• Drops copy of itself to all directories in all drives except system drives.
• Finds zip or rar files then finds .exe files inside the compressed file, if found, does the following:
  
  • copy the .exe file to %User Temp%\IR{Random Characters}.tmp\ directory.
  • insert copy of itself(lpk.dll) in the compressed file.

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).