WORM_IRCBOT.PHT

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos. Este malware puede haberlo descargado inadvertidamente un usuario al visitar algún/algunos sitio(s) Web malicioso(s).

Modifica las entradas de registro para desactivar varios servicios del sistema. Esta acción impide el uso de casi todas las funciones del sistema.

Este malware elimina el/los archivo(s) asociado(s) al/a los proceso(s) que finaliza. Este malware permite que la mencionada rutina desactive por completo los programas y las aplicaciones.

Cambia la página de inicio de Internet Explorer del usuario a un determinado sitio Web. Esta acción permite que el malware dirija a un sitio Web que contiene malware y aumente el riesgo de infección de malware del equipo afectado.

Detalles de entrada

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Este malware puede haberlo descargado inadvertidamente un usuario al visitar el/los siguiente(s) sitio(s) Web malicioso(s):

• http://{BLOCKED}raimg.com/photo.php?={random numbers}
• http://{BLOCKED}otoon.com/photo.php?={random numbers}

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\nvsvc32.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Nvidia Drive Mon

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
NVIDIA driver monitor = %Windows%\nvsvc32.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
NVIDIA driver monitor = %Windows%\nvsvc32.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Terminal Server\
Install\Software\Microsoft\
Windows\CurrentVersion\Run
NVIDIA driver monitor = %Windows%\nvsvc32.exe

Otras modificaciones del sistema

Modifica las entradas de registro para desactivar los siguientes servicios del sistema:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = 4

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\MsMpSvc
Start = 4

(Note: The default value data of the said registry entry is 2.)

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and file name} = %Windows%\nvsvc32.exe:Enabled:NVIDIA driver monitor

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• wuauserv
• MsMpSvc

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• msseces.exe

Este malware elimina el/los archivo(s) asociado(s) al/a los proceso(s) que finaliza. Este malware permite que la mencionada rutina desactive por completo los programas y las aplicaciones.

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Cambia la página de inicio de Internet Explorer del usuario a los siguientes sitios Web:

• http://{BLOCKED}ure.com

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• It tries to connect to any of the following sites:
  
  • {BLOCKED}.{BLOCKED}.18.99
  • {BLOCKED}oshistory.info
  • {BLOCKED}e.pakibili.com
  • {BLOCKED}o.ic.ac.uk
  • {BLOCKED}e.lacoctelera.net
  • {BLOCKED}emccloskey.org
  • {BLOCKED}s.phoenix-cc.net
  • {BLOCKED}highered.com
  • {BLOCKED}lofaccountancy.com
  • {BLOCKED}ls.lww.com
  • {BLOCKED}s.0730ip.com
  • {BLOCKED}s.archivum.info
  • {BLOCKED}p.lvengine.com
  • {BLOCKED}astpost.org
  • {BLOCKED}rticles.com
  • {BLOCKED}rarticles.info
  • {BLOCKED}n.51.com
  • {BLOCKED}yle.com
  • {BLOCKED}e.info
  • {BLOCKED}r-uni-sw.eesp.ch
  • {BLOCKED}ationale.org
  • {BLOCKED}ed.com
  • {BLOCKED}k.com
  • {BLOCKED}etrafficspy.com
  • www.{BLOCKED}an.com
  • xxx.{BLOCKED}a.pl
• If the connection is succesful, the malware joins the channel #!nn! to send and receive information from its IRC C&C server. The malware could also download additional files and is saved as follows:
  
  • %Windows%\ndl.dl
  • %Windows%\wibrf.jpg
  • %Windows%\wiybr.png
  • %Windows%\ntdl.dl
• If the malware is not able to drop a copy of itself in %Windows% directory. It tries to drop a copy of itself as the following:
  
  • %Public%\nvsvc32.exe
  • %Program Files%\nvsvc32.exe
  
  (Note: %Public% is usually C:\Users\Public in Windows Vista and Windows 7. %Program Files% is the default Program Files folder, usually C:\Program Files.)
• The malware is capable of sending messages in Facebook, Yahoo! Messenger and Windows Live containing a link pointing to a copy of itself:
  
  • Foto :D http://{BLOCKED}otoon.com/photo.php?={random numbers}
• This malware also opens the page http://{BLOCKED}users.myspace.com/Browse/Browse.aspx