TROJ_EXEDOT.SM

Puede haberlo infiltrado otro malware. Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Se registra como objeto de ayuda del explorador (BHO) para garantizar su ejecución automática cada vez que se ejecuta Internet Explorer. Crea claves/entradas de registro para llevar a cabo esta acción.

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Detalles de entrada

Puede haberlo infiltrado otro malware.

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Técnica de inicio automático

Se registra como BHO para garantizar su ejecución automática cada vez que se utilice Internet Explorer mediante la introducción de las siguientes claves de registro:

HKEY_CLASSES_ROOT\Interface\{986A8AC1-AB4D-4F41-9068-4B01C0197867}

HKEY_CLASSES_ROOT\TypeLib\{8E3C68CD-F500-4A2A-8CB9-132BB38C3573}

HKEY_CLASSES_ROOT\CLSID\{AFD4AD01-58C1-47DB-A404-FBE00A6C5486}

HKEY_CLASSES_ROOT\AppID\{A0E1054B-01EE-4D57-A059-4D99F339709F}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{AFD4AD01-58C1-47DB-A404-FBE00A6C5486}

HKEY_CLASSES_ROOT\AppID\main.DLL

HKEY_CLASSES_ROOT\main.BHO

HKEY_CLASSES_ROOT\main.BHO.1

Se registra como objeto de ayuda del explorador (BHO) para garantizar su ejecución automática cada vez que se ejecuta Internet Explorer. Crea las siguientes claves/entradas de registro para llevar a cabo esta acción:

HKEY_CLASSES_ROOT\CLSID\{AFD4AD01-58C1-47DB-A404-FBE00A6C5486}\
InProcServer32
@ = {malware path and file name}.DLL

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\\{random}.TMP - downloaded file
• %Current%\\{malware name}.sig - possible configuration file

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• This malware connects to URLs to possibly download other malicious files and configuration files.