TSPY_ISPY.QAM

Recopila determinada información del equipo afectado. Roba información sobre las cuentas de correo electrónico. Roba claves de CD, números de serie y/o los identificadores de producto de determinados programas. La información sustraída se puede usar para beneficio de los ciberdelincuentes, quienes pueden acceder a esa información. Roba información confidencial como nombres de usuario y contraseñas utilizadas para juegos concretos. Registra las pulsaciones de teclas de un usuario para robar información.

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %User Temp%\aut{random 4 characters}.tmp <- temporary encrypted config file, deleted afterwards
• %User Temp%\{random} <- config file, deleted afterwards
• %User Profile%\{random folder name}\dMJPa.au3 <- autoit script containing the malicious code

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Infiltra y ejecuta los archivos siguientes:

• %User Profile%\{random folder name}\AhbI.exe <- AutoIt3.exe to execute the malicious .au3 file
• %User Temp%\IXP000.TMP\HgLWcIgMEX.exe <- also detected as TSPY_ISPY.QAM, deleted after execution

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Agrega los procesos siguientes:

• RegSvcs.exe
• vbc.exe

Crea las carpetas siguientes:

• %User Temp%\IXP000.TMP <- deleted after installation routine
• %User Profile%\{random folder name}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Crea las siguientes carpetas con atributos configurados como Sistema y Oculto para impedir que los usuarios descubran y eliminen sus componentes:

• %User Profile%\{random folder name}

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Termina su ejecución cuando encuentra los siguientes procesos en la memoria del sistema afectado:

• VboxTray.exe
• vmtoolsd.exe
• SandboxieRpcSs.exe

Técnica de inicio automático

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\GCPdiWVeAhEZ.lnk <- points to the loader of the malicious .au3 file

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Rutina de infiltración

Infiltra los archivos siguientes:

• %User Temp%\tmp{random 4 characters}.tmp <- contains CD and/or Product Keys gathered, deleted afterwards
• %User Temp%\{GUID} <- contains the path for RegSvcs.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Robo de información

Recopila la siguiente información del equipo afectado:

• Beyluxe Messenger Credentials
• Webcam Snapshots and Screen captures
  It uploads the images to the following image hosting website:
  • http://{BLOCKED}s.im/api?upload&format=xml

Roba información sobre las cuentas de correo electrónico.

Roba claves de CD, números de serie y/o identificadores de producto de aplicaciones de determinados programas.

Roba información confidencial como nombres de usuario y contraseñas utilizadas para los siguientes juegos:

• MineCraft

Registra las pulsaciones de teclas de un usuario para robar información.

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://ugonna.{BLOCKED}g.com/Panel/api
  Note: contains the following data in the body:
  • Secret={Unique ID}&HWID={Hardware ID}&Name={Computer Name}&Country={Language}&OS={OS version}&Verion={Malware Version}&Type={Type of Information sent}&Data={Data to be sent}
• http://{BLOCKED}ay.iinfo/Products/iPsyKelogger/Server/
  Note: contains the following data in the body:
  • gate=stub&token={value}&name={base64 encoded data}

Otros detalles

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.