PE_QUERVAR.E

Antepone sus códigos a los archivos de destino. Este malware crea un marcador de la infección en los archivos infectados.

Se conecta a determinadas URL. Uno de los objetivos para ello puede ser informar remotamente de su instalación a un usuario malicioso. También puede hacerlo para descargar archivos maliciosos en el equipo, lo que aumentaría su riesgo de infección por parte de otras amenazas.

Instalación

Infiltra los archivos siguientes:

• %User Profile%\Application Data\{Random Folder}\{Random File name}.EXE.LNK
• %User Profile%\Application Data\{Random Folder}\{Random File name}.EXE.INI
• {Malware Path and File name}.{extension of the original file} - normal file that has been previously infected by PE_QUERVAR.E-0

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Infiltra y ejecuta los archivos siguientes:

• %User Profile%\Application Data\{random folder name}\{random file name}.exe - detected as PE_QUERVAR.E-O

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Crea las carpetas siguientes:

• %User Profile%\Application Data\{random folder name}

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• csrss.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
load = "%User Profile%\Application Data\{random folder name}\{random filename}.exe.lnk"

Infección de archivo

Infecta los siguientes tipos de archivo:

• .exe
• .doc
• .docx
• .xls
• .xlsx

Antepone sus códigos a los archivos de destino.

Este malware crea un marcador de la infección en los archivos infectados.

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• taskmgr.exe

Rutina de descarga

Se conecta a las siguientes URL maliciosas:

• http://{BLOCKED}l.ru/33797470/2a06754.50664748/3052832ace10d474336096b36fbd49f05f190.exe?{random characters}
• http://{BLOCKED}0.com/c/osnovnoj2.exe?{random number}
• http://{BLOCKED}ewidea1.ru/1.php?{random characters}&pin={random characters}&crc={random characters}
• http://www.{BLOCKED}oservisi.com/test/php/way.php?{random characters}&pin=58252D00982BC1DA&crc={random characters}