Backdoor.MSIL.REMCOS.AOZ

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites. Puede haberlo infiltrado otro malware.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Roba determinada información del sistema y/o del usuario. Registra las pulsaciones de teclas de un usuario para robar información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Puede haberlo infiltrado el malware siguiente:

• Trojan.P97M.REMCOS.AB

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %AppDataLocal%\Usermodehost.exe

Agrega los procesos siguientes:

• cmd.exe /c copy "%User Temp%\dee.1exe" "%AppDataLocal%\Usermodehost.exe"

Crea las carpetas siguientes:

• %Application Data%\remcos

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Remcos_Mutex_Inj
• nenye-IEA1X9

Técnica de inicio automático

Infiltra los archivos siguientes:

• %Application Data%\remcos\logs.dat -> log file used by the malware to store information sniffed by the keylogger

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Infiltra el siguiente acceso directo dirigido a su copia en la carpeta de inicio del usuario para que se ejecute automáticamente cada vez que arranque el sistema:

• %User Startup%\Usermodehost.lnk

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\nenye-IEA1X9
licence = "{data}"

HKEY_CURRENT_USER\Software\nenye-IEA1X9
exepath = "{hex values}"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Rename File
• Delete File
• Find File
• Download File
• Execute A File
• Upload File
• Execute a command
• Execute Downloaded File
• Terminate Process
• Close Window
• Change Window Text
• Show Window
• Enum Window
• Terminate Thread
• Change Wallpaper
• Empty Clipboard
• Get Clipboard Contents
• Set Clipboard Contents
• Shutdown Windows
• Show message box
• Modify registry
• Enumerate registry key/entries
• Get Keyboard Layout Information
• Activate Keylogger
• Turn Off Keylogger
• Connect to a server
• Close Connection
• Clear browser logins and cookies
• Get process id of window
• Hide or Show Window
• Uninstall Self
• Update Self
• Terminate Self
• Terminate Process
• List files and subfiles in directory
• Modify Service
• Play Sound
• Create Alarm
• Switch Windows
• Get DxDiag Information
• Get System Timing Information
• Open CMD
• Close Socket
• Change Keep-Alive timeout
• Capture Image Using Camera

Robo de información

Roba la siguiente información:

• Operating System Version
• User Privilege (Admin or Non-Admin)
• Processor Revision No.
• Processor Level
• Processor Identifier
• Processor Architecture
• System type (32-bit or 64-bit)
• Keyboard Layout
• Keyboard Key Pressed
• Idle Time of User
• Clipboard Contents
• User Name
• Computer Name

Registra las pulsaciones de teclas de un usuario para robar información.