Analizzato da: Marfel Tiamzon   
 

Kaspersky: Virus.Win32.VB.mp, Backdoor.Win32.IRCBot.pbr, Virus.Win32.VB.bg; Microsoft: Worm:Win32/Brontok.FFV; Norton: W32.SillyFDC

 Piattaforma:

Windows 2000, Windows XP, Windows Server 2003

 Valutazione del rischio complessivo:
 Potenziale dannoso: :
 Potenziale di distribuzione: :
 Reported Infection:
Basso
Medio
Alto
Critico

  • Tipo di minaccia informatica:
    Worm

  • Distruttivo?:
    No

  • Crittografato?:
    Sì

  • In the wild::
    Sì

  Panoramica e descrizione

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Este malware infiltra copias de sí mismo en todas las unidades extraíbles.

  Dettagli tecnici

Dimensione file: 49,152 bytes
Tipo di file: EXE
Residente in memoria: Sì
Data di ricezione campioni iniziali: 12 ottobre 2011

Detalles de entrada

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Instalación

Infiltra los archivos siguientes:

  • %System Root%\msvbvm60.dll
  • %System%\dllchache\msvbvm60.dll
  • %System%\dllcache\msvbvm60.dll
  • %System Root%\(Read Me)Pendekar Blank.txt

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Crea las siguientes copias de sí mismo en el sistema afectado:

  • %System%\dllchache\Zero.txt
  • %System%\dllchache.exe
  • %System%\dllchache\Unoccupied.reg
  • %System%\dllcache\Shell32.com
  • %System%\rund1132.exe
  • %System%\M5VBVM60.EXE
  • %System%\dllcache\Regedit32.com
  • %WINDOWS%\system32.exe
  • %System Root%\AUT0EXEC.BAT
  • %System%\dllchache\Hole.zip
  • %System%\dllchache\Empty.jpg
  • %System%\dllchache\Blank.doc

Crea las carpetas siguientes:

  • %System32%\dllchache

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Secure64 = "%System%\dllcache\Regedit32.com StartUp"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Secure32 = "%System%\dllcache\Shell32.com StartUp"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Blank AntiViri = "%System Root%\AUT0EXEC.BAT StartUp"

Otras modificaciones del sistema

Este malware modifica la(s) siguiente(s) entrada(s)/clave(s) de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\comfile\shell\
open\command
@ = "%System%\rund1132.exe %1"

(Note: The default value data of the said registry entry is "%1" %*.)

HKEY_CLASSES_ROOT\txtfile\shell\
open\command
@ = "%System%\rund1132.exe %1"

(Note: The default value data of the said registry entry is %SystemRoot%\system32\NOTEPAD.EXE %1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
CabinetState
FullPath = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
comfile\shell\open\
command
@ = "%System%\rund1132.exe %1"

(Note: The default value data of the said registry entry is "%1" %*.)

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
txtfile\shell\open\
command
@ = "%System%\rund1132.exe %1"

(Note: The default value data of the said registry entry is %SystemRoot%\system32\NOTEPAD.EXE %1 .)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe, "%system%\M5VBVM60.EXE StartUp""

(Note: The default value data of the said registry entry is %System%\userinit.exe,.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot
AlternateShell = "%System Root%\AUT0EXEC.BAT StartUp"

(Note: The default value data of the said registry entry is cmd.exe.)

Propagación

Este malware infiltra copias de sí mismo en todas las unidades extraíbles.

Rutina de infiltración

Este malware define los atributos del/de los archivo(s) infiltrado(s) de la siguiente manera:

  • Read Only
  • Hidden
  • System