TSPY_URSNIF.YYSUV

Este malware puede haberlo descargado otro malware desde sitios remotos.

Realiza escuchas en los puertos. Se conecta a un sitio Web para enviar y recibir información.

Este malware se elimina tras la ejecución.

Detalles de entrada

Este malware puede descargarlo desde sitio(s) remoto(s) el malware siguiente:

• W2KM_DRIDEX.YYSVD

Instalación

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\{random folder name}\{random filename}.bat ← use to delete itself; deleted afterwards

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{string1}{string2}\{string1}{string2}.exe
  where:
  {string1} = first four letters of a dll file under %System% directory
  {string2} = last four letters of a dll file under %System% directory

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Crea las carpetas siguientes:

• %Application Data%\{string1}{string2}\
  where:
  {string1} = first four letters of a dll file under %System% directory
  {string2} = last four letters of a dll file under %System% directory
• %User Temp%\{random folder}

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{string1}{string2} = "%User Profile%\{string1}{string2}\{string1}{string2}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{random GUID}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{random GUID}
Install = "{encrypted file path of the dropped copy}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{random GUID}
Client = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
Software\Microsoft\{random GUID}
{random values} = "{random values}"

Rutina de puerta trasera

Realiza escuchas en los puertos siguientes:

• 0.0.0.0:49185

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}wallowallowjcli.me
• {BLOCKED}scuserallow.pw

Rutina de descarga

Este malware descarga una copia actualizada de sí mismo desde el/los siguiente(s) sitio(s) Web:

• {BLOCKED}.{BLOCKED}.164.51 using port 9293

Robo de información

Recopila los siguientes datos:

• Online banking credentials
• Keystroke logs

Otros detalles

Este malware se elimina tras la ejecución.