ADW_MULTIPLUG.GC

Puede haberlo instalado manualmente un usuario.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

Puede haberlo instalado manualmente un usuario.

Instalación

Este malware infiltra los siguientes archivos no maliciosos:

• %User Temp%\{random foldername}\temp.ca
• %User Temp%\{random foldername}\images\loader.gif
• %User Temp%\{random foldername}\images\progressbar.gif
• %User Temp%\{random foldername 1}\images\loader.gif
• %User Temp%\{random foldername 1}\images\progressbar.gif
• %User Temp%\{random foldername 1}\steps\{random value}.ini
• %User Temp%\{random foldername 1}\steps\{random value}.ini.txt
• %User Temp%\{random foldername 1}\steps\{random value}.ini.task
• %User Temp%\{random foldername 1}\temp\{random value}.ini.tmp
• %User Temp%\{random foldername 1}\temp\bg.ca

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Temp%\{random foldername 1}\temp\{malware filename}.exe
• %All Users Profile%\Application Data\{GUID}\{malware filename}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Crea las carpetas siguientes:

• %User Temp%\{random foldername 1}\images
• %User Temp%\{random foldername 1}\steps
• %User Temp%\{random foldername 1}\temp
• %User Temp%\{random foldername}
• %User Temp%\{random foldername}\images
• %Program Files%\{application name}
• %All Users Profile%\Application Data\{GUID}
• %All Users Profile%\Application Data\{random folder 2}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Técnica de inicio automático

Infiltra el siguiente acceso directo dirigido a su copia en la carpeta de inicio del usuario para que se ejecute automáticamente cada vez que arranque el sistema:

• %User Startup%\{malware filename}.lnk

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{GUID}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}

HKEY_CURRENT_USER\Software\WebApp

HKEY_CURRENT_USER\Software\WebApp\
Styles

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{GUID}
(Default Value) = "{application name}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
DisplayName = "{name of application}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
{GUID}
{uninstall key} = ""%Program Files%\{application name}\{installer filename}.exe" {command-line argument}"

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://websearch.swellsearch.info/?pid={number}&r={installation date}&hid={number 1}&lg={language}&cc=JP&unqvl={number 2}"

(Note: The default value data of the said registry entry is "{user's start page}".)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main
Start Page = "http://websearch.swellsearch.info/?pid={number}&r={installation date}&hid={number 1}&lg={language}&cc=JP&unqvl={number 2}"

(Note: The default value data of the said registry entry is "{user's start page}".)

Rutina de infiltración

Infiltra los archivos siguientes:

• %Program Files%\{application name}\{installer filename}.dat
• %Program Files%\{application name}\{installer filename}.exe
• %Program Files%\{application name}\{installer filename}.dll
• %Program Files%\{application name}\{installer filename}.tlb
• %User Temp%\{random foldername 1}\temp\{installer filename}.{installer extension}
• %User Temp%\{random foldername 1}\temp\{installer filename}.{installer extension}.tmp
• %All Users Profile%\Application Data\{GUID}\{malware filename}.dat
• %All Users Profile%\Application Data\{random folder 2}\{random filename}.ini
• %Desktop%\{malware filename}.lnk

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

Rutina de descarga

Este malware descarga el archivo desde la siguiente URL y le cambia el nombre al almacenarlo en el sistema afectado:

• http://i1.{BLOCKED}ary.info/addons/sinstall.exe
• http://i1.{BLOCKED}ary.info/addons/ezdownloader.exe

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\{random foldername 1}\temp\hpds_setup.exe
• %User Temp%\{random foldername 1}\temp\EzDownloader_setup.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://r1.{BLOCKED}s.org/
• http://i1.{BLOCKED}ary.info/images/sidebar.jpg
• http://i1.{BLOCKED}ary.info/images/accept.png
• http://i1.{BLOCKED}ary.info/images/next.png
• http://i1.{BLOCKED}ary.info/images/titlebar.png
• http://{BLOCKED}cter.info/?e={data}
• http://c1.{BLOCKED}nal.org/?step_id={data}&sf={data}&installer_id={data}