TROJ_MATSNU.WXC

Este malware modifica la configuración de zona de Internet Explorer.

Roba determinada información del sistema y/o del usuario.

Instalación

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• %User Temp%\{random folder name}\{random name}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\{random value}.bat - deleted

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Crea las carpetas siguientes:

• %User Temp\{random folder name}

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• MAIN{crc32}MUTEX
• COPY{crc32}MUTEX
• CURRENT{crc32}MUTEX

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(random file name 1) = "%User Temp%\{random folder name}\{random file name}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
(random file name 1) = "%User Temp%\{random folder name}\{random file name}.exe"

Infección de archivo

Infecta los archivos siguientes:

• arp.exe
• at.exe
• attrib.exe
• bootcfg.exe
• cacls.exe
• calc.exe
• charmap.exe
• chkdsk.exe
• chkntfs.exe
• cipher.exe
• cleanmgr.exe
• cmdl32.exe
• cmmon32.exe
• compact.exe
• convert.exe
• diskperf.exe
• dplaysvr.exe
• dpnsvr.exe
• driverquery.exe
• dvdplay.exe
• dvdupgrd.exe
• dwwin.exe
• dxdiag.exe
• eventcreate.exe
• expand.exe
• extrac32.exe
• find.exe
• fixmapi.exe
• fltmc.exe
• fontview.exe
• fsutil.exe
• ftp.exe
• gpresult.exe
• gpupdate.exe
• grpconv.exe
• iexpress.exe
• ipconfig.exe
• label.exe
• lodctr.exe
• logagent.exe
• mobsync.exe
• net1.exe
• netstat.exe
• notepad.exe
• openfiles.exe
• ping.exe
• powercfg.exe
• presentationhost.exe
• print.exe
• proquota.exe
• rasautou.exe
• rasdial.exe
• rasphone.exe
• recover.exe
• reg.exe
• regini.exe
• regsvr32.exe
• relog.exe
• runas.exe
• rundll32.exe
• runonce.exe
• sc.exe
• sethc.exe
• sfc.exe
• shutdown.exe
• sort.exe
• subst.exe
• systeminfo.exe
• taskkill.exe
• tasklist.exe
• taskmgr.exe
• tcpsvcs.exe
• tracerpt.exe
• typeperf.exe
• unlodctr.exe
• utilman.exe
• vssadmin.exe
• w32tm.exe
• wextract.exe
• wiaacmgr.exe
• wpdshextautoplay.exe
• wscript.exe
• xcopy.exe

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

Robo de información

Roba la siguiente información:

• Username
• Machine name
• Windows Version
• User Default Language
• System Default Language
• Processor Information
• Graphical Card Information
• Drive information
• Virtual Environment Detected
• Installed AV

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{generated domains}/search.php?{random char}={encrypted value}&{random char 2}={encrypted value}&{random char 3}={encrypted value}