Worm.WSF.DUNIHI.PAT

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Infiltra copias de sí mismo en todas las unidades extraíbles conectadas a un sistema afectado.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Registra las pulsaciones de teclas de un usuario para robar información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\{Malware Name}.wsf

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Infiltra los archivos siguientes:

• %User Temp%\ebgeaegdbdecaedfebace.reg

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• regedit.exe %User Temp%\ebgeaegdbdecaedfebace.reg

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%Application Data%\{Malware Name}.wsf"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%Application Data%\{Malware Name}.wsf"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}
(Default) = {true or false} - {Date of Infection}

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = 0

(Note: The default value data of the said registry entry is 3.)

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

(Note: The default value data of the said registry entry is 0.)

Propagación

Infiltra copias de sí mismo en todas las unidades extraíbles conectadas a un sistema afectado.

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• disconnect - Terminate malware process
• reboot - Reboot the machine
• shutdown - Shutdown the machine
• execute - Execute command sent by C&C
• install-sdk - Install tool used for stealing passwords from web browsers
• get-pass - Steal passwords from a specific web browser
• get-pass-offline - Steal passwords from pre-determined web browsers
• update - Update the malware script
• uninstall - Uninstall the malware from the machine
• up-n-exec - Download and execute a file from a pre-determined URL
• bring-log - Upload WSH logs
• down-n-exec - Download and execute a file from the given URL
• filemanager - Download and execute fm-plugin.exe
• rdp - Download and execute rd-plugin.exe used for keylogging
• rev-proxy - Drop and execute rprox.exe used for reverse proxy
• exit-proxy - Terminate rprox.exe
• exit-hrdp - Terminate hrdp.exe
• keylogger - Drop and execute kl-plugin.exe used for keylogging
• offline-keylogger - Drop and execute kl-plugin.exe used for keylogging
• browse-logs - Upload list of logs
• cmd-shell - Execute sent shell command
• get-processes - Sends list of running processes
• disable-uac - Disable security
• check-eligible - Check if a file exists
• rev-rdp - Download and execute rdp
• force-eligible - Check if a file exists then execute it
• elevate - Elevate malware administrative rights
• if-elevate - Check if malware has administrative rights
• kill-process - Terminate a specific process
• sleep - The malware sleeps for a given amount of time
• update - Update the malware script

Robo de información

Recopila los siguientes datos:

• Computer Name
• User Name
• Operating System
• AV Products
• Machine's Country
• Disk Volume Serial Number
• User Credentials

Registra las pulsaciones de teclas de un usuario para robar información.