Análisis realizado por : David John Agni   

 Alias

PWS:Win32/Dyzap.A (Microsoft), W32/Dyreza.LL!tr (Fortinet)

 Plataforma:

Windows

 Riesgo general:
 Potencial de destrucción:
 Potencial de distribución:
 Infección divulgada:
 Revelación de la información:
Bajo
Medio
High
Crítico

  • Tipo de malware
    Backdoor

  • Destructivo?
    No

  • Cifrado

  • In the Wild:

  Resumen y descripción

Canal de infección Descargado de Internet, Eliminado por otro tipo de malware

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Utiliza el Programador de tareas de Windows para agregar una tarea programada que ejecute las copias que infiltra.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Este malware se elimina tras la ejecución.

  Detalles técnicos

Tamaño del archivo 138752 bytes
Tipo de archivo DLL
Residente en memoria
Fecha de recepción de las muestras iniciales 13 Nov 2015
Carga útil Steals information

Detalles de entrada

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Instalación

Utiliza el Programador de tareas de Windows para agregar una tarea programada que ejecute las copias que infiltra.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

  • Global\u1nyj3rt20

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

  • firefox.exe
  • iexplore.exe
  • Microsoft Edge
  • chrome.exe

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

  • Receive configuration(web injects/MitB)
  • Receive New connections
  • Create Backdoor connection
  • Download Module (vnc32, tv32, wg32, pn32, rdpp32, pdf32)
  • Reboot Computer
  • Create User Admin Account
  • Wipe MBR, Drives C and D
  • Browser Snapshot
  • Download file and execute
  • Create scheduled task to execute a file every minute

Robo de información

Su archivo de configuración contiene la siguiente información:

  • List of strings related to banking/bitcoin
  • Proxy address for the Man-in-the-middle attack
  • List of new C&C server

Recopila los siguientes datos:

  • Host Name
  • Public IP Address
  • Computer Name
  • OS Version
  • OS Platform
  • User Accounts
  • System Info(CPU, Memory, No. of Processors)
  • Installed programs
  • Services

Otros detalles

Este malware se elimina tras la ejecución.

  Soluciones

Motor de exploración mínimo 9.8

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 3

Reiniciar en modo seguro

[ aprenda más ]

Step 4

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como BKDR_DYRE.YYSPG En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Step 5

Eliminar las tareas programadas que ha añadido este malware/grayware/spyware

[ aprenda más ]

Para eliminar el archivo de la tarea programada:

  1. Haga clic en Inicio>Programas>Accesorios>Herramientas del sistema>Tareas programadas
  2. Haga doble clic en un archivo .JOB.
  3. Compruebe si el valor del campo Ejecutar: contiene el/los nombre(s) del/de los archivo(s) que se ha(n) eliminado anteriormente.
  4. Si es así, seleccione el archivo .JOB y, a continuación, pulse MAYÚS+SUPR para eliminar el archivo definitivamente.
  5. Repita los pasos del 2 al 4 para los archivos .JOB restantes.

Step 6

Reinicie en modo normal y explore el equipo con su producto de Trend Micro para buscar los archivos identificados como BKDR_DYRE.YYSPG En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Rellene nuestra encuesta!