TROJAN.WIN32.DISTTRACK.AA

A continuación ejecuta el/los archivo(s) infiltrado(s). Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos infiltrados.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s):

• %Temp%\key8854321.pub
• %Windows%\inf\averbh_noav.pnf
• %Windows%\hdv_725x.sys -> normal file

(Nota: %Temp% es la carpeta de archivos temporales de Windows, que suele estar en C:\Windows\Temp o C:\WINNT\Temp).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\MaintenaceSrv32.exe - 32 bit system
• %System%\MaintenaceSrv64.exe - 64 bit system

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Propagación

Infiltra copias de sí mismo en las carpetas compartidas siguientes:

• ADMIN$
• C$\WINDOWS
• D$\WINDOWS
• E$\WINDOWS

Rutina de infiltración

Infiltra los archivos siguientes:

• %System%\{wiper name} ← used to overwrite the disk
  where {wiper name} is any of the following:
  • _tdibth.exe
  • _wialx002.exe
  • acpipmi2z.exe
  • af0038bdax.exe
  • arcx6u0.exe
  • averfix2h826d_noaverir.exe
  • hidirkbdmvs2.exe
  • mdamx_5560.exe
  • mdmgcs_8.exe
  • mdmusrk1g5.exe
  • megasasop.exe
  • netbxndxlg2.exe
  • prncaz90x.exe
  • prngt6_4.exe
  • prnlx00ctl.exe
  • prnsv0_56.exe
  • tsprint_ibv.exe
  • vsmxraid.exe
  • wiacnt7001.exe
• %System%\{network communicator name} -> Used to connect to its C&C server
  where the {network communicator name} can be any of the following:
  • netnbdrve.exe
  • prnod802.exe
  • netrndiscnt.exe
  • netrtl42l.exe
  • mdmadccnt.exe
  • prnca00.exe
  • bth2bht_ibv32.exe
  • cxfalcon_ibL32.exe
  • mdmsupr30.exe
  • digitalmediadevicectl.exe
  • mdmetech2dmv.exe
  • netb57vxx.exe
  • winwsdprint.exe
  • prnkwy005.exe
  • composite005.exe
  • mdmar1_ibv32.exe
  • prnle444.exe
  • kscaptur_ibv32.exe
  • mdmzyxlga.exe
  • usbvideob.exe
  • input_ibv48.exe
  • prnok002_ibv.exe
  • averfx2swtvZ.exe
  • wpdmtp_ibv32.exe
  • mdmti_ibv32.exe
  • printupg_ibv32.exe
  • wiabr788.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

A continuación ejecuta el/los archivo(s) infiltrado(s). Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos infiltrados.

Otros detalles

Agrega y ejecuta los servicios siguientes:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
ImagePath = "{drop copy} LocalService" or "{malware path and filename} LocalService"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
DisplayName = "Maintenace Host Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
DependOnService = "RpcSs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MaintenaceSrv
Description = "The Maintenace Host service is hosted in the LSA process. The service provides key process isolation to private keys and associated cryptographic operations as required by the Common Criteria. The service stores and uses long-lived keys in a secure process compl0"