BKDR_NFLOG.ETS

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Este malware se elimina tras la ejecución.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %User Temp%\±ØÒª.pdf - Non-malicious PDF file
• %Temp%\NfIpv6.ocx - Also detected as BKDR_NFLOG.ETS
• %Temp%\YahooCache.ini
• %Temp%\checkup.exe - Also detected as BKDR_NFLOG.ETS

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

• svchost.exe

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Type = "20"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
DisplayName = "IPv6 Stack Local Support"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Description = "Net address translation for IPv6 Protocol."

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Security
Security = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Parameters
ServiceDll = %Temp%\NfIpv6.ocx

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Parameters

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Security

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\P3P

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\P3P\History

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
5.0\Cache\Extensible Cache\
MSHist01{Current date and the date the day after}

Agrega las siguientes entradas de registro:

HKEY_USERS\.DEFAULT\Software\
Microsoft\Clock
HID = "{hex values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
WebView\BarricadedFolders
shell:Windows = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
5.0\Cache\Extensible Cache\
MSHist01{Current date and the date the day after}
CachePath = "%USERPROFILE%\Local Settings\History\History.IE5\MSHist01{Current date and the date the day after}\"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
5.0\Cache\Extensible Cache\
MSHist01{Current date and the date the day after}
CachePrefix = ":{Current date and the date the day after}: "

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
5.0\Cache\Extensible Cache\
MSHist01{Current date and the date the day after}
CacheLimit = "2000"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
5.0\Cache\Extensible Cache\
MSHist01{Current date and the date the day after}
CacheOptions = "b"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
5.0\Cache\Extensible Cache\
MSHist01{Current date and the date the day after}
CacheRepair = "0"

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Internet Settings\Connections
DefaultConnectionSettings = "{Hex Values}"

Elimina las siguientes claves de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
5.0\Cache\Extensible Cache\
MSHist01{Default}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
5.0\Cache\Extensible Cache\
MSHist012012110920121110

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download files
• Perform remote shell
• Retrieve system information
• Update self

Publica la siguiente información en su servidor de mando y control (C&C):

• IP configuration
• Network statistics
• Running processes
• Running services
• System information

Rutina de descarga

Accede a los siguientes sitios Web para descargar archivos:

• http://{BLOCKED}t194.{BLOCKED}n.com/norton/Nfile.asp

Guarda los archivos que descarga con los nombres siguientes:

• %Temp%\MSMAPI.OCX - Detected as BKDR_NFLOG.SM

(Nota: %Temp% es la carpeta de archivos temporales de Windows, que suele estar en C:\Windows\Temp o C:\WINNT\Temp).

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Otros detalles

Requiere la existencia de los archivos siguientes para ejecutarse correctamente:

• %Temp%\YahooCache.ini

(Nota: %Temp% es la carpeta de archivos temporales de Windows, que suele estar en C:\Windows\Temp o C:\WINNT\Temp).

Este malware se elimina tras la ejecución.