JS_RETEFE.L

Puede haberlo infiltrado otro malware.

Detalles de entrada

Puede haberlo infiltrado el malware siguiente:

• TROJ_RETEFE.ASUAM

Instalación

Infiltra los archivos siguientes:

• %User Temp%\{8 random characters}.ps1 -> 4 different files,
• %User Temp%\{6 random characters}.zip -> TOR Browser files
• %User Temp%\{Computer Name}.log -> contains logs of the malware's installation and information of the infected system

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\7za.exe -> 7zip(Normal File)

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Agrega los procesos siguientes:

• powershell.exe -ep Unrestricted -f "%User Temp%\{8 random characters}.ps1" -> used to run other processes

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKCU\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
AutoConfigURL = "http://127.0.0.1:5555/{8 random characters}.js?ip={Victim's IP Address}"
4 instances

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• iexplore.exe
• firefox.exe
• chrome.exe