WORM_QBOT.BUD

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Este malware infiltra copias de sí mismo en las unidades de red.

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Recopila información específica del sistema afectado.

Supervisa ciertos archivos. Impide que los usuarios visiten sitios Web asociados a antivirus que contengan cadenas específicas.

Detalles de entrada

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Crea las carpetas siguientes:

• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• 1a{host name}

Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

• IEXPLORE.EXE
• EXPLORER.EXE

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe"

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{legitimate application} = ""%System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.exe" /c {path and file name of legitimate application}"

(Note: The default value data of the said registry entry is {path and file name of legitimate application}.)

Propagación

Este malware infiltra copias de sí mismo en las unidades de red.

Capacidades de rootkit

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Rutina de infiltración

Infiltra los archivos siguientes:

• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename1}.dll - detected as TROJ_QAKLOG.SM
• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename2}.dll - detected as Mal_Qakcfg1 (encrypted coinfiguration file)
• %System Root%\Documents and Settings\All Users\Application Data\Microsoft\{random foldername}\{random filename}.dll - also detected as WORM_QBOT.BUD (dll component)

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Robo de información

Su archivo de configuración contiene la siguiente información:

• Reference to the components and their corresponding random filenames in the system
• IRC data
• FTP hosts (upload sites)
• Infection log

Acepta los siguientes parámetros:

• /i - drop the dll and config file to current directory
• /s - start service
• /t - terminate any process with a similar filename

Recopila la siguiente información del sistema afectado:

• Account name
• Browsing activities
• Certificates
• City
• Cookies
• Country
• IE password protected sites
• IE user namesand passwords
• IP address
• MSN user name and password
• Operating system
• Outlook user name and password
• Public Storage - SMTP, POP3, LDAP
• System Information

Envía la información recopilada a los siguientes sitios Web utilizando las credenciales de su archivo de configuración:

• {BLOCKED}.{BLOCKED}.134.75
• ftp.{BLOCKED}formation.com
• ftp.{BLOCKED}central.com
• s046.{BLOCKED}xmanager.com

Otros detalles

Supervisa los siguientes archivos:

• chrome.exe
• firefox.exe
• iexplore.exe
• msmsgs.exe
• msnmsgr.exe
• opera.exe
• outlook.exe
• skype.exe
• yahoomessenger.exe

Impide que los usuarios visiten sitios Web asociados a antivirus que contengan las siguientes cadenas:

• .eset
• agnitum
• ahnlab
• arcabit
• avast
• avg
• avira
• avp
• bit9
• bitdefender
• castlecops
• centralcommand
• clamav
• comodo
• computerassociates
• cpsecure
• defender
• drweb
• emsisoft
• esafe
• etrust
• ewido
• f-prot
• f-secure
• fortinet
• gdata
• grisoft
• hacksoft
• hauri
• ikarus
• jotti
• k7computing
• kaspersky
• malware
• mcafee
• networkassociates
• nod32
• norman
• norton
• panda
• pctools
• prevx
• quickheal
• rising
• rootkit
• securecomputing
• sophos
• spamhaus
• spyware
• sunbelt
• symantec
• threatexpert
• trendmicro
• virus
• webroot.
• wilderssecurity
• windowsupdate