TROJ_BUBLIK.JG

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Infiltra y ejecuta los archivos siguientes:

• "%System%\{random filename}.exe"

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Este malware inyecta subprocesos en el/los siguiente(s) proceso(s) normal(es):

• thebat.exe
• msimn.exe
• iexplore.exe
• explorer.exe
• myie.exe
• firefox.exe
• mozilla.exe
• avant.exe
• maxthon.exe
• OUTLOOK.EXE
• ftpte.exe
• coreftp.exe
• filezilla.exe
• TOTALCMD.EXE
• cftp.exe
• FTPVoyager.exe
• SmartFTP.exe
• WinSCP.exe
• opera.exe
• navigator.exe
• safari.exe
• chrome.exe

Técnica de inicio automático

Añade las siguientes entradas del registro de Image File Execution Options para ejecutarse a sí mismo cuando se ejecutan determinadas aplicaciones:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
userinit.exe
"Debugger" = "{random filename}.exe"

Otras modificaciones del sistema

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
5.0\203E7401