TSPY_GORYNYCH.A

Utiliza el Programador de tareas de Windows para agregar una tarea programada que ejecute las copias que infiltra.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• %Application Data%\com9.{UID}\svcproc.exe
• %User Startup%\svcproc.exe
• %Application Data%\com9.{UID}\dwn.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Utiliza el Programador de tareas de Windows para agregar una tarea programada que ejecute las copias que infiltra.

Agrega los procesos siguientes:

• taskkill /IM pos.exe /F

Crea las carpetas siguientes:

• %Application Data%\com9.{UID}←uses reserved name (COM{1~9})

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• dVICLKDhnkG4MRbx6Gn2FU7tiZfRjz

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
svcproc = "%Application Data%\com9.{UID}\svcproc.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
svcproc = "%Application Data%\com9.{UID}\svcproc.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
svcproc = "%Application Data%\com9.{UID}\svcproc.exe"

La tarea programada ejecuta el malware con cada:

• User Logon

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
L!NK\1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
L!NK\1
0 = {value}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKLM\SOFTWARE\Microsoft\
Security Center
UACDisableNotify = "0"

HKLM\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

Rutina de infiltración

Infiltra los archivos siguientes:

• %Application DAta%\POS.exe
• log.c
• keys.c← list of gathered data

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}1.bid/casadeto/gate.php
• http://{BLOCKED}1.bid/casadeto/gate.php?1ee=1