WORM_DLOADR.SMM

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado. Utiliza una lista de contraseñas para acceder a archivos compartidos protegidos mediante contraseña.

Se conecta a determinadas URL. Uno de los objetivos para ello puede ser informar remotamente de su instalación a un usuario malicioso. También puede hacerlo para descargar archivos maliciosos en el equipo, lo que aumentaría su riesgo de infección por parte de otras amenazas. No obstante, de este modo no se podrá acceder a los sitios mencionados.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\system\winrsc.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Este malware infiltra el/los siguiente(s) archivo(s):

• %System%\drivers\sysdrv32.sys - detected by Trend Micro as RTKT_NEERIS.AH

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Windows System Monitor = "%Windows%\system\winrsc.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
WINSYSMON

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
WINSYSMON

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
WINSYSMON
(Default) = "Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
WINSYSMON
(Default) = "Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\system\winrsc.exe = "%Windows%\system\winrsc.exe:*:Microsoft Enabled"

Propagación

Infiltra copias de sí mismo en las carpetas compartidas siguientes:

• c$\windows\system32
• c$\winnt\system32
• d$\windows\system32
• d$\winnt\system32
• Admin$
• Admin$\system32

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• win.com

Usa los siguientes nombres de archivo para las copias que infiltra en las redes compartidas:

• eraseme_{random numbers}.exe

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Utiliza la siguiente lista de contraseñas para acceder a archivos compartidos protegidos mediante contraseña:

• !@#$
• !@#$%
• 1111
• 111111
• 1234
• 12345
• 123456
• 2000
• 2001
• 2002
• 2003
• 2004
• 2005
• 2006
• 2007
• 2009
• 654321
• 9999
• abc123
• admin
• admin123
• administrador
• administrat
• administrateur
• administrator
• admins
• anonymous
• apache
• asdf
• asdfgh
• backup
• changeme
• changeme2
• cisco
• compaq
• computer
• database
• debug
• default
• ftpd
• fuck
• gateway
• guest
• hello
• home
• httpd
• internet
• kids
• login
• love
• mail
• master
• monitor
• mssql
• mypass
• mypassword
• mysql
• netadmin
• netman
• network
• none
• operator
• oracle
• owner
• pass
• passwd
• password
• password123
• private
• public
• pwpwd
• qwerty
• recovery
• root
• school
• secret
• secrets
• security
• server
• serveradmin
• service
• staff
• storage
• student
• superuser
• support
• sysadm
• system
• teacher
• tech
• temp
• test
• user
• veritas
• webadmin
• windows
• windowsxp
• work
• wwwadmin

Rutina de descarga

Se conecta a las siguientes URL maliciosas:

• http://www.{BLOCKED}btown.com/desktopz/bb.exe

No obstante, de este modo no se podrá acceder a los sitios mencionados.