ADW_KITO.GA

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos. Puede haberlo instalado manualmente un usuario.

Recopila determinada información del equipo afectado.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Puede haberlo instalado manualmente un usuario.

Instalación

Infiltra los archivos siguientes:

• %Application Data%\okitspace\protect\Interop.Shell32.dll
• %Application Data%\okitspace\protect\NewtonSoft.Json.dll
• %Application Data%\okitspace\protect\utilsDll.dll
• %Application Data%\okitspace\protect\config.xml
• %Application Data%\okitspace\protect\sqlite3.exe
• %Application Data%\okitspace\protect\PluginProtect.exe - detected as ADW_KITO.GA
• %Application Data%\okitspace\uninstallkit.exe
• %User Temp%\ns{random characters}.tmp\SimpleSC.dll - deleted afterwards

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\okitspace
• %Application Data%\okitspace\protect
• %User Temp%\ns{random value}.tmp - deleted afterwards

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvPlgProtect
ImagePath = "%Application Data%\okitspace\protect\PluginProtect.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvPlgProtect
DisplayName = "Protect your browser's extensions"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvPlgProtect
Start = "2"

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srvPlgProtect

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
PluginProtect

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
PluginProtect
InstallDay = "{System Date and Time}"

Robo de información

Recopila la siguiente información del equipo afectado:

• System date and time
• Operating system and version
• UserID
• Default browser
• Installed browsers
• Browser Activities

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}a.{BLOCKED}tk.com/xmlstatic/installers/plugins/okitspace/version
• http://{BLOCKED}a.{BLOCKED}tk.com/xmlstatic/installers/plugins/okitspace/lastplugin
• https://{BLOCKED}s.{BLOCKED}ace.com/software_stats/
• http://{BLOCKED}s.{BLOCKED}ace.com/software_stats/?action_id={id}&action_description={data}&software_id={id}&software_version={version}&user_id={user id}&user_agent={browser application}&user_date={date and time}&channel_id={id}&channel_subid={id}&channel_param={parameter}&_={data}
• http://{BLOCKED}s.{BLOCKED}ace.com/ox.php?{random letter}={data}
• http://{BLOCKED}s.{BLOCKED}ace.com/uploads/cover.js?id={id}&affid={id}&user_agent={browser}&user_id={user ID}&channel_id={ID}&channel_subid={ID}&channel_param={parameter}&software_id={ID}&software_version={version}
• http://{BLOCKED}r.{BLOCKED}ace.com/fast/get_topic_keyword/?keywords={keyword}&base_domain={website domain}&software_id={ID}&script_version={version}&_={data}
• http://{BLOCKED}n.{BLOCKED}ace.com/www/delivery/ajs.php?zoneid={id}&{random letter}={value}&{random letter}={value}&topic={data}&domain={website domain}&path={data}&ext=okitspace&_={data}
• http://{BLOCKED}.{BLOCKED}ashjs.info/base/javascript.js?hid=oksp2&channel={number}
• https://www.{BLOCKED}3.com/js/intext.js?afid=okitagency&subid={id}&maxlinks={number}&linkcolor={number}&affiliate=okitagency