PE_URSNIF.A-O

Instalación

Agrega las carpetas siguientes:

• %All Users Profile%\Application Data\SoftwareProtectionPlatform

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\SoftwareProtectionPlatform\sppc.exe
• %System%\wsauth.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Su componente DLL se inyecta en el(los) siguiente(s) proceso(s):

• explorer.exe
• iexplore.exe
• firefox.exe
• chrome.exe
• services.exe

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
ImagePath = "%System%\wsauth.exe -s"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
DisplayName = "Windows Software Protection"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth
Description = "This windows service enables the download, installation and enforcement of digital licenses for Windows and Windows applications. If the service is disabled, the operating system and licensed applications may run in a notification mode. It is strongly recommended that you not disable the Software Protection Service."

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
dumpnsta = "%Application Data%\SoftwareProtectionPlatform\sppc.exe"

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wsauth

Infección de archivo

Infecta los archivos siguientes:

• *.pdf - detected as PE_URSNIF.A1
• *.msi - detected as PE_URSNIF.A2
• setup.exe

  It infects these files found in removable and network drives

Propagación

Infiltra copias de sí mismo en las unidades siguientes:

• removable drives
• network drives

Infiltra copias de sí mismo en unidades de red como las siguientes:

• {drive letter}:\Temp.exe

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {drive letter}:\Temp.exe

Robo de información

Recopila los siguientes datos:

• System Information (Please see notes for more details)
• Running processes and services
• Installed device drivers
• Programs installed
• Screenshots

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{random letters}.{domain}/pki/mscorp/crl/msiwww2.crl
• http://{random letters}.{domain}/pki/mscorp/crl/MSIT%20Machine%20Auth%20CA%202(1).crl
• where {domain} can be any of the following:
  • com
  • net
  • org
  • info