WORM_QAKBOT.JEE

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Recopila información específica del sistema afectado.

Se conecta a determinados sitios Web para enviar y recibir información. Impide que los usuarios visiten sitios Web asociados a antivirus que contengan cadenas específicas.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %All Users Profile%\Application Data\Microsoft\{random folder}\{random name}.dll

Crea las siguientes copias de sí mismo en el sistema afectado:

• %All Users Profile%\Application Data\Microsoft\{random folder}\{random name}.exe

Crea las carpetas siguientes:

• %All Users Profile%\Application Data\Microsoft\{random folder}

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• {malware file name}a
• {random string}

Termina su ejecución cuando encuentra los siguientes procesos en la memoria del sistema afectado:

• msdev.exe
• dbgview.exe
• mirc.exe
• ollydbg.exe
• ctfmon.exe

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random name}
Imagepath = "%All Users Profile%\Application Data\Microsoft\{random folder name}\{random file name}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random name}
DisplayName = "Remote Procedure Call (RPC) Service"

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{random name} = "%All Users Profile%\Application Data\Microsoft\{random folder name}\{random file name}.exe"

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{legitimate application} = "%All Users Profile%\Application Data\Microsoft\{random folder name}\{random file name}.exe /c {path and file name of legitimate application}"

(Note: The default value data of the said registry entry is {path and file name of legitimate application}.)

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download and execute component files
• Download configuration and updates
• Download updated copy of itself
• Uninstall itself
• Kill processes
• Upload files containing stolen information
• Perform FTP functionalities

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}s.{BLOCKED}ev.ua
• {BLOCKED}m.{BLOCKED}v.ua
• {BLOCKED}n.org
• {BLOCKED}nz.net
• {BLOCKED}mausj.org
• {BLOCKED}tkrich.net
• {BLOCKED}carusled.org

Robo de información

Recopila la siguiente información del sistema afectado:

• GeoIP locations
• Browser cookies
• Flash cookies
• Network information
• System information
• FTP, POP3, IMAP, SMTP, HTTPMail, NNTP Passwords
• Outlook login credentials
• Private keys from system certificates
• Login credentials for certain websites
• Internet sessions

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• {BLOCKED}.{BLOCKED}.239.145:8080

Impide que los usuarios visiten sitios Web asociados a antivirus que contengan las siguientes cadenas:

• explabs.
• sanasecurity
• phishtank.com
• hautesecure.com
• truste.com
• clearclouddns
• webroot.
• agnitum
• ahnlab
• arcabit
• avast
• avg
• avira
• avp
• bitdefender
• bit9
• castlecops
• centralcommand
• clamav
• comodo
• computerassociates
• cpsecure
• defender
• drweb
• emsisoft
• esafe
• .eset
• etrust
• ewido
• fortinet
• f-prot
• f-secure
• gdata
• grisoft
• hacksoft
• hauri
• ikarus
• jotti
• k7computing
• kaspersky
• malware
• mcafee
• networkassociates
• nod32
• norman
• norton
• panda
• pctools
• prevx
• quickheal
• rising
• rootkit
• securecomputing
• sophos
• spamhaus
• spyware
• sunbelt
• symantec
• threatexpert
• threatfire
• trendmicro
• virus
• wilderssecurity
• windowsupdate
• update.microsoft.
• download.microsoft.