ADW_CAMPAU

Publish date: 04 de abril de 2014

Alias

AdWare.Win32.Agent.aiwa (Kaspersky); Adware.Agent (Sunbelt); The file is signed by an untrusted certificate, issued by: Maucampo.E25. (AVG)

Plataforma:

Windows 2000, Windows XP, Windows Server 2003

Riesgo general:

Infección divulgada:

Impacto en el sistema :

Revelación de la información:

Bajo

Medio

High

Crítico

Tipo de malware
Adware
Destructivo?
No
Cifrado
In the Wild:
Sí

Resumen y descripción

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Detalles técnicos

Tamaño del archivo 2,281,408 bytes

Tipo de archivo EXE

Residente en memoria No

Fecha de recepción de las muestras iniciales 04 Apr 2014

Instalación

Crea las carpetas siguientes:

%System Root%\DOCUME~1
%System Root%\DOCUME~1\Wilbert
%User Profile%\LOCALS~1
%User Temp%\nsy6.tmp
%Program Files%\maucampo
%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content
%System%\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\MetaData
%System%\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache
%System%\config\systemprofile\Application Data\Microsoft\CryptnetUrlCache\Content

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Otras modificaciones del sistema

Elimina los archivos siguientes:

%User Temp%\nsd4.tmp
%User Temp%\nsy6.tmp
%User Temp%\nsy6.tmp\ns1B.tmp
%User Temp%\nsy6.tmp\ns1E.tmp
%Windows%\Microsoft.NET\Framework\v2.0.50727\config\security.config.cch.444.44856796
%Windows%\Microsoft.NET\Framework\v2.0.50727\config\enterprisesec.config.cch.444.44856796
%User Profile%\v2.0.50727.42\security.config.cch.444.44857046

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\Software\Classes\
CLSID\{1AA60054-57D9-4F99-9A55-D0FBFBE7ECD3}

HKEY_CURRENT_USER\Software\maucampo

HKEY_LOCAL_MACHINE\Software\maucampo\
Chrome

HKEY_LOCAL_MACHINE\Software\maucampo\
Internet Explorer

HKEY_LOCAL_MACHINE\Software\maucampo\
Firefox

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
Update maucampo

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\maucampo
is = "def_maucampo"

HKEY_CURRENT_USER\Software\maucampo
iid = "def_maucampo"

HKEY_CURRENT_USER\Software\maucampo
id = "2014-04-02 23:36:56"

HKEY_LOCAL_MACHINE\SOFTWARE\maucampo\
Chrome
sgc = "true"

HKEY_LOCAL_MACHINE\SOFTWARE\maucampo\
Internet Explorer
sie = "false"

HKEY_LOCAL_MACHINE\SOFTWARE\maucampo\
Firefox
sff = "false"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Eventlog\Application\
Update maucampo
EventMessageFile = "%Windows%\Microsoft.NET\Framework\v2.0.50727\EventLogMessages.dll"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"