BKDR_FAKEDOBE.JB

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\Win\WinUpdate.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Infiltra los archivos siguientes:

• %Application Data%\log - log file of activities

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\{RANDOM}.bat

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\S6TD4WUQZL.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\Win

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = "%Application Data%\Win\WinUpdate.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\VB and VBA Program Settings

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
INSTALL

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
INSTALL\DATE

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
SrvID

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
SrvID\ID

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
INSTALL\DATE
98UJ1H0LYI = "{date of first execution}"

HKEY_CURRENT_USER\Software\VB and VBA Program Settings\
SrvID\ID
98UJ1H0LYI = "PM"

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\AuthorizedApplications\List
%Application Data%\Win\WinUpdate.exe = "%Application Data%\Win\WinUpdate.exe:*:Enabled:Windows Messanger"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\AuthorizedApplications\List
%Application Data%\S6TD4WUQZL.exe = "%Application Data%\S6TD4WUQZL.exe:*:Enabled:Windows Messanger"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Open/Close CD-Rom
• On/Off Monitor
• Shutdown/Restart machine
• Increase/Decrease/Mute Volume
• Set Screensaver
• Key logger
• Capture screenshot/video/sound
• Disable clipboard
• Set Cursor
• Swap Mouse Button
• Start/Terminate Browser
• Download File
• Get Logical Drives information
• Perform Remote Shell