PUA.Win32.GMER.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s):

• %User Temp%\{8 Random Characters}.sys

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %User Temp%\{8 Random Characters}.sys

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}
Type = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}
Start = 3

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}
ImagePath = \??\%User Temp%\{8 Random Characters}.sys

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{8 Random Characters}
Group = Base

Robo de información

Recopila los siguientes datos:

• List of Drives
• Computer Name
• Running Processes
• Process Modules
• Running Services
• Computer Files
• Disk Sectors
• System Registries
• Clipboard Data

Otros detalles

Hace lo siguiente:

• It loads the dropped file as a driver
  • %User Temp%\{8 Random Characters}.sys
• It displays the following image
  
• It displays and can delete, copy, and kill files and folders
• It displays and can create and kill system processes
• It displays process modules
• It can edit, disable and delete services
• It displays and can edit system registry data
• It can export registry data and save it in a file
• It can execute shell commands
• It can restore SSDT tables
• It can restore the Master Boot Record (MBR)
• The tool scans for the following:
  • Hidden Processes
  • Hidden Threads
  • Hidden Modules
  • Hidden Services
  • Hidden Files
  • Hidden Disk Sectors (MBR)
  • Hidden Alternate Data Streams
  • Hidden Registry Keys
  • Drivers Hooking SSDT
  • Drivers Hooking IDT
  • Drivers Hooking IRP calls
  • Inline Hooks
• It displays process libraries and threads
• It can restart the machine
• This tool has been abused by other malware to terminate processes relating to security-related software via its -killfile option