TSPY_BISTY.A

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Este malware no tiene ninguna capacidad para realizar descargas.

Este malware no tiene ninguna rutina de servidor proxy.

Recopila determinada información del equipo afectado.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Windows%\fxsst.dll - also detected as TSPY_BISTY.A

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Program Files%\Internet Explorer\IeCheck.exe

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• 2009-v11

Este malware inyecta subprocesos en el/los siguiente(s) proceso(s) normal(es):

• SVCHOST.EXE

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{e3df6b419d1F}
StubPath = "%Program Files%\Internet Explorer\IeCheck"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{e3df6b419d1F}

HKEY_CURRENT_USER\Software\Google
ActiveSettings = "{hex values}"

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Finalización del proceso

Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• 360sd.exe
• 360tray.exe
• ashServ.exe
• Avast
• avgrsx.exe
• avp.exe
• ccSvcHst.exe
• ekrn.exe
• FProt
• FProtTray.exe
• KAVsvc.exe
• KVwsc.exe
• Mcafee
• Mcshield.exe
• MPMon.exe
• NOD32
• nod32krn.exe
• nscsrvce.exe
• RavMon.exe
• ravtask.exe
• rising.exe
• RsTray.exe
• rtvscan.exe
• sched.exe
• SfCtlCom.exe
• UfNavi.exe
• UfSeAgnt.exe
• 360Safe

Rutina de descarga

Este malware no tiene ninguna capacidad para realizar descargas.

Rutina del servidor proxy

Este malware no tiene ninguna rutina de servidor proxy.

Robo de información

Recopila la siguiente información del equipo afectado:

• HTTP Password
• HTTP Server URL
• HTTP User
• IMAP Password
• IMAP Server
• IMAP User
• POP3 Password
• POP3 Server
• POP3 User
• SMTP Email Address
• SMTP Server

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• {BLOCKED}i.zyns.com