TSPY_EMOTET.XXTL

Este malware modifica la configuración de zona de Internet Explorer.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %AppDataLocal%\{random name}\{random name}.exe

Técnica de inicio automático

Infiltra el siguiente acceso directo dirigido a su copia en la carpeta de inicio del usuario para que se ejecute automáticamente cada vez que arranque el sistema:

• %User Startup%\{random name}.lnk

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

Rutina de descarga

Accede a los siguientes sitios Web para descargar archivos:

• When running on a Virtual Environment, the malware connects to the following inaccessible/fake URLs:
  • http://{BLOCKED}.{BLOCKED}.24.211:443
  • http://{BLOCKED}.{BLOCKED}.22.63:443
  • http://{BLOCKED}.{BLOCKED}.5.69:443
  • http://{BLOCKED}.{BLOCKED}.82.254:443
  • http://{BLOCKED}.{BLOCKED}.81.35:8080
  • http://{BLOCKED}.{BLOCKED}.66.107:8080
  • http://{BLOCKED}.{BLOCKED}.119.91:8080
  • http://{BLOCKED}.{BLOCKED}.145.252:8080
  • http://{BLOCKED}.{BLOCKED}.172.45:8080
  • http://{BLOCKED}.{BLOCKED}.83.86:8080
  • http://{BLOCKED}.{BLOCKED}.231.207:8080
  • http://{BLOCKED}.{BLOCKED}.33.202:8080
  • http://{BLOCKED}.{BLOCKED}.215.16:8080
  • http://{BLOCKED}.{BLOCKED}.36.193:8080
• When the malware is not running on a Virtual Environment, it connects to the following URL:
  • http://{BLOCKED}.{BLOCKED}.75.19:8080

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\{random filename}.tmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

No obstante, de este modo no se podrá acceder a los sitios mencionados.