Backdoor.JS.DUNIHI.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\{malware file name}.js

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• %System%\WScript.exe {malware directory}\{malware file name}.js
• %System%\wscript.exe //B %Application Data%{malware file name}.js

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{malware file name} = "wscript.exe //B "%Application Data%{malware file name}.js"

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\{malware file name}.js

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• install -> creates autorun registry and drops copy in startup directory
• uninstall -> deletes autorun registry entry and dropped copy
• launch -> executes file
• exit -> exits current process
• receive -> receives commands
• upd -> drops file and execute
• rst -> executes file
• l32 -> executes file
• dct -> exits current process
• rbt -> shutdown /r /t 0 /f
• shd -> shutdown /s /t 0 /f
• lgf -> shutdown /l /f
• idn -> checks if system has .NET framework installed
• ins -> install
• uis -> uninstall
• int.g -> http send plugin parameter then sleep
• int.s -> sleep time
• fi* -> used for FilePlugin
• lb* -> used for LibraryPlugin
• do* -> used for DownloadPlugin
• sc* -> used for ScreenPlugin
• ou* -> used for OutlookPlugun
• px* -> used for ProxyPlugin
• cn* -> used for ShellPlugin

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://protogoo.{BLOCKED}ing.com:9989

Robo de información

Recopila los siguientes datos:

• OS Volume Serial
• UUID
• Computer Name
• User Name
• OS Caption
• OS Version
• Tag
• OS Screen Resoltuion