BKDR_KULUOZ.VLT

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Detalles de entrada

Este malware puede haberse descargado desde el/los sitio(s) remoto(s) siguiente(s):

• http://{BLOCKED}ofing.com/lib.php?la=w0HMRoflYGd7lbjgVe3hPH5ALSw8h2SpOT2SmBFy%2BHA%3D

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %AppDataLocal%\{random file name}.exe

Agrega los procesos siguientes:

• svchost.exe

Este malware permanece como residente en memoria mediante la inyección de códigos en los siguientes procesos:

• created svchost.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%AppDataLocal%\{random file name}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{random}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\{random}
{random} = "{hex values}"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Sleep/Idle
• Download and execute arbitrary file
• Uninstall itself
• Download module and inject to svchost.exe
• Update itself
• Check latest malware version
• Manage registry

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://{BLOCKED}0.{BLOCKED}4.59.5:443/{encrypted data}
• http://{BLOCKED}8.{BLOCKED}.219.150:443/{encrypted data}
• http://{BLOCKED}2.{BLOCKED}2.157.126:8080/{encrypted data}
• http://{BLOCKED}9.{BLOCKED}6.55.95:8080/{encrypted data}
• http://{BLOCKED}1.{BLOCKED}1.1.189:8080/{encrypted data}
• http://{BLOCKED}5.{BLOCKED}1.29.205:8080/{encrypted data}

Robo de información

Recopila los siguientes datos:

• Malware version
• Virtualization information
• Running debugger/forensic tools
• User name
• Local IP address
• Processor type
• OS version
• Antivirus product
• Firewall product