BKDR_MEVADE.C

Instalación

Agrega las carpetas siguientes:

• %Program Files%\Tor
• %System%\config\systemprofile\Local Settings\Application Data\Windows Internet Name Service
• %System%\config\systemprofile\Local Settings\Application Data\Windows Internet Name Service\{random numbers}
• %Root%\Documents and Settings\LocalService\Application Data\tor
• %Root%\Documents and Settings\LocalService\Application Data\tor\lock
• %Root%\Documents and Settings\LocalService\Application Data\tor\state

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Este malware infiltra el/los siguiente(s) archivo(s):

• %System%\config\systemprofile\Local Settings\Application Data\Windows Internet Name Service\{random numbers}
• %System32\config\systemprofile\Local Settings\Application Data\Windows Internet Name Service\{random numbers}\{random numbers}.ct
• %System32\config\systemprofile\Local Settings\Application Data\Windows Internet Name Service\{random numbers}\{random numbers}.ph

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\config\systemprofile\Local Settings\Application Data\Windows Internet Name Service\wins.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\tor
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\tor
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\tor
ImagePath = "%Program Files%\Tor\tor.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\tor
DisplayName = "Tor Win32 Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\tor
ObjectName = "NT AUTHORITY\LocalService"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\tor
Description = "Provides an anonymous Internet communication system"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Internet Name Service
Type = "10"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Internet Name Service
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Internet Name Service
ImagePath = "%System%\config\systemprofile\Local Settings\Application Data\Windows Internet Name Service\wins.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Internet Name Service
DisplayName = "Windows Internet Name Service"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Internet Name Service
Group = "netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Internet Name Service
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Internet Name Service
Description = "Provides Internet Name Service"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\tor

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Windows Internet Name Service