Worm.WSF.DUNIHI.NLJ
Worm:VBS/Jenxcus!rfn (MICROSOFT)
Windows
Tipo di minaccia informatica:
Worm
Distruttivo?:
No
Crittografato?:
No
In the wild::
Sì
Panoramica e descrizione
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.
Dettagli tecnici
Detalles de entrada
It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.
Instalación
Infiltra los archivos siguientes:
- %User Profile%\{Malware Filename} - if %User Profile% exists
- %Temp%\{Malware Filename} - if %User Profile% does not exist
(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario} y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}).
. %Temp% es la carpeta de archivos temporales de Windows, que suele estar en C:\Windows\Temp o C:\WINNT\Temp).)Técnica de inicio automático
Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:
If %User Profile% exists:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%User Profile%\{Malware Filename}"
If %User Profile% does not exist:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%Temp%\{Malware Filename}"
If %User Profile% exists:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%User Profile%\{Malware Filename}"
If %User Profile% does not exist:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Malware Name} = wscript.exe //B "%Temp%\{Malware Filename}"
Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:
- %User Startup%\{Malware Filename}
(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).
)Otras modificaciones del sistema
Agrega las siguientes entradas de registro:
If it is executed in the root of a drive:
HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}
(Default) = true - {Current Date in MM/DD/YYYY format}
If it is not executed in the root of a drive:
HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}
(Default) = false - {Current Date in MM/DD/YYYY format}
Propagación
Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:
- {Removable Drive Letter}\{Malware Filename} → sets attribute to Hidden and System
Rutina de puerta trasera
Ejecuta los comandos siguientes desde un usuario remoto malicioso:
- excecute<|>{Command} → it executes an expression or code.
- update<|>{Codes} → it updates the existing {Malware Path}\{Malware Filename} by writing updated codes to it.
- It restarts the updated malware by running the following process:
- wscript.exe //B {Malware Path}\{Malware Filename}
- It restarts the updated malware by running the following process:
- uninstall → it does the following:
- It deletes created autostart registry entries.
- It deletes %User Startup%\{Malware Filename}.
- It deletes {Malware Path}\{Malware Filename}.
- It deletes all shortcut files in active removable drives.
- It deletes dropped {Malware Filename} in active removable drives.
- It sets the attributes of original files and folders in active removable drives to normal.
- It terminates itself afterwards.
- send<|>{File URL}<|>{Directory} → it does the following:
- It connects to the following URL through HTTP POST to download a file from the {File URL}:
- http://{BLOCKED}ns.net:13/is-sending<|>{File URL}
- It saves the downloaded file as:
- {Directory}\{Filename from File URL}
- If {Directory} is not specified, it saves the downloaded file as:
- %User Profile%\{Filename from File URL}
- It executes the downloaded file afterwards.
- It connects to the following URL through HTTP POST to download a file from the {File URL}:
- site-send<|>{File URL}<|>{Filename} → it does the following:
- It connects to the {File URL} through HTTP GET to download a file.
- It saves the downloaded file as:
- %User Profile%\{Filename}
- It executes the downloaded file afterwards.
- recv<|>{File Path}\{Filename} → it does the following:
- It connects to the following URL through HTTP POST to upload a file's content specified in {File Path}\{Filename}:
- http://{BLOCKED}ns.net:13/is-recving<|>{File Path}\{Filename}
- It connects to the following URL through HTTP POST to upload a file's content specified in {File Path}\{Filename}:
- enum-driver → it does the following:
- It connects to the following URL and sends the following information through HTTP POST:
- http://{BLOCKED}ns.net:13/is-enum-driver
- Active drives and their types.
- It sets the User-Agent header in the HTTP request using the following system information:
- {Volume Serial Number}<|>{Computer Name}<|>{Username}<|>{OS Caption}<|>plus<|>{Antivirus Product Name} | nan-av<|>true | false - {Current Date}
- It connects to the following URL and sends the following information through HTTP POST:
- enum-faf<|>{Directory} → it does the following:
- It connects to the following URL and sends the following information through HTTP POST:
- http://{BLOCKED}ns.net:13/is-enum-faf
- List of files, folders, and subfolders, and their attributes in {Directory}
- It sets the User-Agent header in the HTTP request using the following system information:
- {Volume Serial Number}<|>{Computer Name}<|>{Username}<|>{OS Caption}<|>plus<|>{Antivirus Product Name} | nan-av<|>true | false - {Current Date}
- It connects to the following URL and sends the following information through HTTP POST:
- enum-process → it does the following:
- It connects to the following URL and sends the following information through HTTP POST:
- http://{BLOCKED}ns.net:13/is-enum-process
- List of running processes including process name, PID, and executable path.
- It sets the User-Agent header in the HTTP request using the following system information:
- {Volume Serial Number}<|>{Computer Name}<|>{Username}<|>{OS Caption}<|>plus<|>{Antivirus Product Name} | nan-av<|>true | false - {Current Date}
- It connects to the following URL and sends the following information through HTTP POST:
- cmd-shell<|>{Command} → it does the following:
- It connects to the following URL and sends the following information through HTTP POST:
- http://{BLOCKED}ns.net:13/is-cmd-shell
- Output of the executed command including error output.
- It sets the User-Agent header in the HTTP request using the following system information:
- {Volume Serial Number}<|>{Computer Name}<|>{Username}<|>{OS Caption}<|>plus<|>{Antivirus Product Name} | nan-av<|>true | false - {Current Date}
- It executes the following command:
- %comspec% /c {Command}
- It connects to the following URL and sends the following information through HTTP POST:
- delete<|>{File Path}\{Filename} | {Directory} → it deletes the specified file or folder.
- exit-process<|>{PID} → it terminates a process specified by its PID.
- sleep<|>{Value} → it sets the duration of sleep using a specified value in milliseconds.
Otros detalles
Agrega las siguientes entradas de registro como parte de la rutina de instalación:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Malware Name}
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware Name}
HKEY_LOCAL_MACHINE\SOFTWARE
{Malware Name}
Hace lo siguiente:
- It creates shortcuts of all files, folders, and subfolders in active removable drives using the same file name, folder name, and icon.
- It sets the attributes of all files, folders, and subfolders, excluding shortcut files to Hidden and System in active removable drives.
- The created shortcut files contain the following command line in their target:
- For files:
- %System%\cmd.exe /c start {Malware Filename}&start {Original Filename}&exit → opens both the copied malware and the original file.
- For folders and subfolders:
- %System%\cmd.exe /c start {Malware Filename}&start explorer {Original Folder Name}&exit → opens both the copied malware and the original folder.
- For files:
- It loops its routine indefinitely ensuring it affects all current and newly inserted removable drives.
(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).
)
Soluzioni
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 2
Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.
Step 3
Reiniciar en modo seguro
Step 4
Eliminar este valor del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {Malware Name} = wscript.exe //B %User Profile%\{Malware Filename} → if %User Profile% exists
- {Malware Name} = wscript.exe //B %User Profile%\{Malware Filename} → if %User Profile% exists
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {Malware Name} = wscript.exe //B %Temp%\{Malware Filename} → if %User Profile% does not exist
- {Malware Name} = wscript.exe //B %Temp%\{Malware Filename} → if %User Profile% does not exist
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- {Malware Name} = wscript.exe //B %User Profile%\{Malware Filename} → if %User Profile% exists
- {Malware Name} = wscript.exe //B %User Profile%\{Malware Filename} → if %User Profile% exists
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- {Malware Name} = wscript.exe //B %Temp%\{Malware Filename} → if %User Profile% does not exist
- {Malware Name} = wscript.exe //B %Temp%\{Malware Filename} → if %User Profile% does not exist
- In HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}
- (Default) = true - {Current Date in MM/DD/YYYY format} → if it is executed in the root of a drive
- (Default) = true - {Current Date in MM/DD/YYYY format} → if it is executed in the root of a drive
- In HKEY_LOCAL_MACHINE\SOFTWARE\{Malware Name}
- (Default) = false - {Current Date in MM/DD/YYYY format} → if it is not executed in the root of a drive
- (Default) = false - {Current Date in MM/DD/YYYY format} → if it is not executed in the root of a drive
Step 5
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\
- {Malware Name}
- {Malware Name}
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\
- {Malware Name}
- {Malware Name}
- In HKEY_LOCAL_MACHINE\SOFTWARE\
- {Malware Name}
- {Malware Name}
Step 6
- Abra una consola de comandos.
- Si es usuario de Windows 2000, Windows XP o Windows Server 2003, haga clic en Inicio>Ejecutar. En el cuadro de entrada Abrir, escriba CMD y, a continuación, pulse Intro.
- Si es usuario de Windows Vista o Windows 7, haga clic en Inicio, escriba CMD en el campo de entrada Buscar y, a continuación, pulse Intro.
- En la consola de CMD, escriba lo siguiente:
ATTRIB [+R | -R] [+A | -A ] [+S | -S] [+H | -H] [+I | -I] [unidad:][ruta de acceso][nombre de archivo] [/S [/D] [/L]]
Sintaxis:
+ Establece un atributo.
- Borra un atributo
R Atributo de archivo de solo lectura
A Atributo de archivo de almacenamiento
S Atributo de archivo del sistema
H Atributo de archivo oculto
I Atributo de archivo indexado sin contenido
[unidad:][ruta de acceso][nombre de archivo]
Especifica un archivo o archivos para que el atributo efectúe el procesamiento
/S Procesa los archivos que cumplen las condiciones que se encuentran en la carpeta actual y en todas sus subcarpetas.
/D Carpetas procesadas
/L Trabajar en los atributos del Vínculo simbólico frente al destino del Vínculo simbólico
Ejemplo:
Para dejar de ocultar todos los archivos y carpetas (incluidas subcarpetas) de la unidad D:
ATTRIB –H D:\* /S /D - Repita el paso 3 para aplicar el proceso a carpetas y archivos que se encuentren en otras unidades o directorios.
Step 7
Buscar y eliminar estos archivos
- %User Startup%\{Malware Filename}
- %User Profile%\{Malware Filename} - if %User Profile% exists
- %Temp%\{Malware Filename} - if %User Profile% exists
- {Removable Drive Letter}\{Malware Filename}
- {Removable Drive Letter}\{Created Shortcut (.lnk) files}
- %User Startup%\{Malware Filename}
- %User Profile%\{Malware Filename} - if %User Profile% exists
- %Temp%\{Malware Filename} - if %User Profile% exists
- {Removable Drive Letter}\{Malware Filename}
- {Removable Drive Letter}\{Created Shortcut (.lnk) files}
Step 8
Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como Worm.WSF.DUNIHI.NLJ En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Sondaggio