Fileless-KOVTER

Este malware modifica la configuración de zona de Internet Explorer.

Se conecta a determinados sitios Web para enviar y recibir información. Este malware se elimina tras la ejecución.

Instalación

Infiltra los archivos siguientes:

• %AppDataLocal%\{random folder name 1}\{random filename}.{random file extension} - Encrypted file
• %AppDataLocal%\{random folder name 1}\{random filename}.bat - starts Encrypted file
• %AppDataLocal%\{random folder name 1}\{random filename}.lnk - starts BAT file
• %Application Data%\{random folder name 2}\{random filename}.{random file extension} - Encrypted file
• %User Startup%\{random filename}.lnk - Starts Encrypted file

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• %System%\regsvr32.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Crea las carpetas siguientes:

• %AppDataLocal%\{random folder name 1}
• %Application Data%\{random folder name 2}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• %System%\regsvr32.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random Value} = {Random Value} = %AppDataLocal%\{random folder name 1}\{random filename}.lnk

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random Value} = "%System%\mshta.exe" "javascript:{Random}="{Random}";{Random}=new ActiveXObject("WScript.Shell");{Random}="{Random}";{Random Variable}={Random}.RegRead("HKCU\software\{Random Registry Key}\{Random Registry Value}");{Random}="{Random}";eval({Random Variable});{Random}="{Random}";"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\{Random Value}

HKEY_CLASSES_ROOT\.{random file extension}

HKEY_CURRENT_USER\Software\{Random Registry Key}

HKEY_CLASSES_ROOT\{Random Value}\shell

HKEY_CLASSES_ROOT\{Random Value}\shell\
open

HKEY_CLASSES_ROOT\{Random Value}\shell\
open\command

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate
DisableOSUpgrade = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate\
OSUpgrade
ReservationsAllowed = 0

HKEY_CLASSES_ROOT\.{random file extension}
{Default} = {Random Value}

HKEY_CLASSES_ROOT\{Random Value}\shell\
open\command
{Default} = "%System%\mshta.exe" "javascript:{Random}="{Random}";{Random}=new ActiveXObject("WScript.Shell");{Random}="{Random}";{Random Variable}={Random}.RegRead("HKCU\software\{Random Registry Key}\{Random Registry Value}");{Random}="{Random}";eval({Random Variable});{Random}="{Random}";"

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value 2} = Mozilla/4.0 (compatible; MSIE 7.0; Windows NT 6.1; Trident/4.0; SLCC2; .NET CLR 2.0.50727; .NET CLR 3.5.30729; .NET CLR 3.0.30729; Media Center PC 6.0; InfoPath.2; .NET4.0C; .NET4.0E)

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value} = {Encrypted Data - Powershell script}

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value 3} = {Encrypted Data - to be decrypted by PowerShell process}

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value 4} = {Random Characters}

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value 5} = {Random Characters}

HKEY_CURRENT_USER\Software\{Random Registry Key}
{Random Registry Value 6} = {Random Characters}

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{blocked}5.{blocked}7.72.90/upload.php
• http://{BLOCKED}.{BLOCKED}.67.23/upload.php
• {Random Generated IP Address} - used for click-fraud activity

Este malware se elimina tras la ejecución.