WORM_ELVI.A

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Este malware infiltra copias de sí mismo en las unidades extraíbles. Estas copias infiltradas utilizan los nombres de las carpetas ubicadas en las mencionadas unidades para sus nombres de archivo.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. However, as of this writing, the said sites are inaccessible.

Detalles de entrada

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Startup%\skype.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %ProgramData%\skype.exe

Infiltra los archivos siguientes:

• %ProgramData%\skype.exe.ini

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• programdataskype.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
skype.exe = %ProgramData%\skype.exe

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
skype.exe = %ProgramData%\skype.exe

Propagación

Este malware infiltra copias de sí mismo en las unidades extraíbles. Estas copias infiltradas utilizan los nombres de las carpetas ubicadas en las mencionadas unidades para sus nombres de archivo.

Rutina de puerta trasera

Este malware abre el/los siguiente(s) puerto(s) donde realiza escuchas sobre comandos remotos:

• 1888

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• DL - Downloads and executes the file. The file will be located in %Temp% folder.
• up - Download and executes the latest version of the malware. Uninstall the previous version.
• ex - Executes a file
• cmd - Perform a remote shell
• pwd - Get specific stored credentials from system then send to C&C server. (e.g. FileZilla, Google Chrome, and NO-IP Dynamic DNS Service)
• un - Uninstall itself from the system

(Nota: %Temp% es la carpeta de archivos temporales de Windows, que suele estar en C:\Windows\Temp o C:\WINNT\Temp).

Publica la siguiente información en su servidor de mando y control (C&C):

• Removable Devices present
• Serial number of %System Root%
• Malware Version
• OS Service Pack
• OS Version
• Title of active windows
• ID of currently logged on user
• Computer's network name
• Malware Name

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

However, as of this writing, the said sites are inaccessible.