TSPY_DYRE.YYSMB

Este malware no tiene ninguna rutina de propagación.

Se conecta a determinados sitios Web para enviar y recibir información. Este malware se elimina tras la ejecución.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %AppDataLocal%\{random filename}.exe (for Windows Vista and above)
• %Windows%\{random filename}.exe (for Windows XP and below)

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\u1nyj3rt20

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• explorer.exe
• svchost.exe

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
ImagePath = "%Windows%\{random filename}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
DisplayName = "Google Update Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate
Start = "2"

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = "%AppDataLocal%\{random filename}.exe" (for Windows Vista and above)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\googleupdate (for Windows XP and below)

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa
LimitBlankPasswordUse = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fDenyTSConnections = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Terminal Server
fSingleSessionPerUser = "0"

(Note: The default value data of the said registry entry is 1.)

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de infiltración

Infiltra los archivos siguientes:

• %System%\config\systemprofile\Application Data\{random filename} (for Windows XP and below)
• %AppDataLocal%\{random filename} (for Windows Vista and above)

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Robo de información

Recopila los siguientes datos:

• Host Name
• Public IP Address
• Computer Name
• OS Version
• OS Platform
• User Accounts
• System Info(CPU, Memory, No. of Processors)
• Installed programs
• Services

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• {BLOCKED}.{BLOCKED}.226.85:443
• {BLOCKED}.{BLOCKED}.63.98:443
• {BLOCKED}.{BLOCKED}.126.8:4443
• {BLOCKED}.{BLOCKED}.166.94:4443
• {BLOCKED}.{BLOCKED}.18.187:4443
• {BLOCKED}.{BLOCKED}.201.9:443
• {BLOCKED}.{BLOCKED}.10.23:443
• {BLOCKED}.{BLOCKED}.161.171:443
• {BLOCKED}.{BLOCKED}.152.131:443
• {BLOCKED}.{BLOCKED}.64.35:4443
• {BLOCKED}.{BLOCKED}.194.101:4443
• {BLOCKED}.{BLOCKED}.206.47:4443
• {BLOCKED}.{BLOCKED}.190.84:443
• {BLOCKED}.{BLOCKED}.191.213:443
• {BLOCKED}.{BLOCKED}.60.93:4443
• {BLOCKED}.{BLOCKED}.63.88:4443
• {BLOCKED}.{BLOCKED}.135.106:4443
• {BLOCKED}.{BLOCKED}.83.218:4443
• {BLOCKED}.{BLOCKED}.49.128:4443
• {BLOCKED}.{BLOCKED}.81.96:4443
• {BLOCKED}.{BLOCKED}.178.154:443
• {BLOCKED}.{BLOCKED}.151.10:443
• {BLOCKED}.{BLOCKED}.245.84:443
• {BLOCKED}.{BLOCKED}.249.97:443
• {BLOCKED}.{BLOCKED}.165.182
• {BLOCKED}.{BLOCKED}.172.36:443
• {BLOCKED}.{BLOCKED}.51.25:443
• {BLOCKED}.{BLOCKED}.60.225:443
• {BLOCKED}.{BLOCKED}.96.193:4443
• {BLOCKED}.{BLOCKED}.228.144:443
• {BLOCKED}.{BLOCKED}.202.183:443
• {BLOCKED}.{BLOCKED}.204.195
• {BLOCKED}.{BLOCKED}.61.101:443
• {BLOCKED}.{BLOCKED}.128.203:443
• {BLOCKED}.{BLOCKED}.57.164:4443
• {BLOCKED}.{BLOCKED}.193.35
• {BLOCKED}.{BLOCKED}.200.112:443
• {BLOCKED}.{BLOCKED}.203.23:443
• {BLOCKED}.{BLOCKED}.204.26:443
• {BLOCKED}.{BLOCKED}.243.134:4443
• {BLOCKED}.{BLOCKED}.228.117:4443
• {BLOCKED}.{BLOCKED}.55.12:443
• {BLOCKED}.{BLOCKED}.55.122:443
• {BLOCKED}.{BLOCKED}.75.75:4443
• {BLOCKED}.{BLOCKED}.102.70:443
• {BLOCKED}.{BLOCKED}.154.243:443

Este malware se elimina tras la ejecución.