BKDR_COREBOT.B

Crea carpetas donde infiltra sus archivos.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %AppDataLocal%\Microsoft\{GUID 2}\{GUID}.exe

Agrega los procesos siguientes:

• svchost.exe
• dllhost.exe - watchdog

Crea carpetas donde infiltra sus archivos.

Crea las carpetas siguientes:

• %AppDataLocal%\Microsoft\{GUID 1}
• %AppDataLocal%\Microsoft\{GUID 2}

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• Created processes

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID 3} = "%AppDataLocal%\Microsoft\{GUID 2}\{GUID}.exe"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download and Execute file
• Load and unload downloaded plugin
• Start and Stop plugin
• Perform Remote Shell
• Update URL list
• Update itself
• Update Plugin
• Modify Config
• Manage File
• Manage MBR
• Send gathered data

Robo de información

Recopila los siguientes datos:

• List Infected Processes
• Malware Information
• Plugin Information
• Victim Machine Information

Información sustraída

La información robada se guarda en los siguientes archivos:

• {Created Folder}\{random file name}.dmp

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://1x5xwxcj5lm6qnm.{BLOCKED}s.net/verify
• http://32c2s850c43d3jmvyhu.{BLOCKED}s.net/verify
• http://38ilyl56obylq4klwf5.{BLOCKED}s.net/verify
• http://3jafcn1jcbw6qhw6cps.{BLOCKED}s.net/verify
• http://3tufqjcbi4q0ct12sdu.{BLOCKED}s.net/verify
• http://52irmfyrs8qda2khexg.{BLOCKED}s.net/verify
• http://5vehkd70ixkj7fc8ynclmv3.{BLOCKED}s.net/verify
• http://ah3r5twfm6uv7b5xmrghkf5.{BLOCKED}s.net/verify
• http://anebudypw8ehy4qxc0i47j7.{BLOCKED}s.net/verify
• http://c4m8mh12m6od1duh5v3.{BLOCKED}s.net/verify
• http://cfircpkdmxu2ufq.{BLOCKED}s.net/verify
• http://crunuryp7l70q87.{BLOCKED}s.net/verify
• http://cvojqvcf1676edwxync.{BLOCKED}s.net/verify
• http://ev12otkna63hefclsxm.{BLOCKED}s.net/verify
• http://ex1jgxgjw6qv50o2cxm2ery.{BLOCKED}s.net/verify
• http://g2slslkloxwlohc.{BLOCKED}s.net/verify
• http://gby2qfknmx72una21p581ja.{BLOCKED}s.net/verify
• http://gdgxkpoxgjwp7lm.{BLOCKED}s.net/verify
• http://gnenija416e8yd3.{BLOCKED}s.net/verify
• http://i2uvmr1hsxo01x3tw4s.{BLOCKED}s.net/verify
• http://it1j3dkbcv3n7vs6uhedmf1.{BLOCKED}s.net/verify
• http://iteb5bgtgdk450kt5du.{BLOCKED}s.net/verify
• http://khqjalgnktgjk8ojkra.{BLOCKED}s.net/verify
• http://kj3436excp7pyrg8el5nqf7.{BLOCKED}s.net/verify
• http://m0atuxs4a4u2y0u.{BLOCKED}s.net/verify
• http://mv54ivkfy87b5b7fwlw.{BLOCKED}s.net/verify
• http://ohihkfgv3x5pstul76s2qto.{BLOCKED}s.net/verify
• http://pomppondy.net/gate/
• http://qnudqxifa0kl1ra.{BLOCKED}s.net/verify
• http://qt7val1fqj7l76upqng0yh7.{BLOCKED}s.net/verify
• http://sby8opql7hcj5hgrkvq0ad7.{BLOCKED}s.net/verify
• http://stsno0gpqjyrkxq.{BLOCKED}s.net/verify
• http://svmr5jsr54qxsdg03xyhgj1.{BLOCKED}s.net/verify
• http://u4ctk6o6g01h1j3.{BLOCKED}s.net/verify
• http://u6avot1bencl3bs0wjyfmjw.{BLOCKED}s.net/verify
• http://upypm036y87ravqjsrilmhg.{BLOCKED}s.net/verify
• http://uru072s2mtmxclg.{BLOCKED}s.net/verify
• http://vo870kdwtyxurk41t7.{BLOCKED}s.net/verify
• http://wh3fgn527xqdg432u8i.{BLOCKED}s.net/verify
• http://y814slwbwtg25h3pk8g.{BLOCKED}s.net/verify
• http://ypy8ip7pu6s2y4k.{BLOCKED}s.net/verify