Virus.Win32.EXPIRO.JMA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %Application Data%\{Random Hex Values}.bin

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\Multiarch.m0yv-{Random Hex Values}-b
• Global\Multiarch.m0yv-{Random Hex Values}-inf

Infección de archivo

Infecta los siguientes tipos de archivo:

• .EXE

Evita infectar archivos que contienen las cadenas siguientes en sus nombres:

• windefend
• UIODetect
• svchost
• TrustedInstaller
• ntsvcs

Robo de información

Recopila los siguientes datos:

• Username
• Computer Name
• OS Information
• System and User Default Language
• Processor Architecture

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• {BLOCKED}tj.biz
• {BLOCKED}.{BLOCKED}.106.25
• {BLOCKED}.{BLOCKED}.126.10
• {BLOCKED}.{BLOCKED}.235.76
• {BLOCKED}.{BLOCKED}.218.86
• {BLOCKED}.{BLOCKED}.161.12
• {BLOCKED}.{BLOCKED}.228.140
• {BLOCKED}.{BLOCKED}.74.76
• {BLOCKED}.{BLOCKED}.98.146
• {BLOCKED}.{BLOCKED}.13.20
• {BLOCKED}.{BLOCKED}.35.88
• {BLOCKED}.{BLOCKED}.13.61
• {BLOCKED}.{BLOCKED}.184.122
• {BLOCKED}.{BLOCKED}.184.124
• {BLOCKED}.{BLOCKED}.189.15
• {BLOCKED}.{BLOCKED}.203.211
• {BLOCKED}.{BLOCKED}.203.226
• {BLOCKED}.{BLOCKED}.76.77
• {BLOCKED}.{BLOCKED}.76.81
• {BLOCKED}.{BLOCKED}.152.37
• {BLOCKED}.{BLOCKED}.152.58

Hace lo siguiente:

• It targets executable files that are associated with the system's services and infects them.
• It starts the infected services to ensure persistence.
• It appends its malicious codes at the end of the targeted files.
• It displays the following message box to deceive the user into thinking that it has executed a legitimate Adobe AIR installer: