PE64_EXPIRO.AR

Modifica las entradas de registro para desactivar varios servicios del sistema. Esta acción impide el uso de casi todas las funciones del sistema.

Se conecta a un sitio Web para enviar y recibir información.

Modifica la configuración de seguridad de Internet Explorer. Esto pone en gran peligro el equipo afectado, puesto que permite que acceda a URL maliciosas.

Roba determinada información del sistema y/o del usuario.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Application Data%\{Volume serial of system folder}{number}.nls - non-malicious

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• kkq-vx-mtx{number}

Otras modificaciones del sistema

Modifica las entradas de registro para desactivar los siguientes servicios del sistema:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = "4"

(Note: The default value data of the said registry entry is 2.)

Infección de archivo

Infecta los siguientes tipos de archivo:

• EXE

Rutina de puerta trasera

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}oolz.biz
• {BLOCKED}meno.biz
• {BLOCKED}mavywy.biz
• {BLOCKED}ixumo.org
• {BLOCKED} vpyrnosnaj.cc
• {BLOCKED}e-icu.org
• {BLOCKED}unipenuq.ru
• {BLOCKED}cywy.org
• {BLOCKED}hwyjcohoc.biz
• {BLOCKED}zziquxmo.biz
• {BLOCKED}qroqiwy.net
• {BLOCKED}dsuly.ru
• {BLOCKED}adova.biz
• {BLOCKED}tibu-da.ws
• {BLOCKED}sinora.ru
• {BLOCKED}jify.biz
• {BLOCKED}axuzuhek.com
• {BLOCKED}tekasik.ws
• {BLOCKED}e-hi.ru
• {BLOCKED}azuqom.in
• {BLOCKED}yc-yzyn.ws
• {BLOCKED}abonho.ws
• {BLOCKED}atsamkihyf.org
• {BLOCKED}ebakhedci.ws

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Agrega las siguientes entradas y líneas al archivo SYSTEM.INI para permitir su ejecución automática cada vez que se inicia el sistema: $$DATA$$

Robo de información

Roba la siguiente información:

• Certificates
• User credentials
• Information from Filezilla
• Windows Product ID
• Drive Volume Serial Number
• OS Version

Información sustraída

Este malware guarda la información robada en el archivo siguiente:

• %Application Data%\kf{random number}z32.dl
• %Application Data%\dfl{random number}z32.dll
• %Application Data%\wsr{number}zt32.dll

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).