BKDR_NUPIC.RQ

Ejecuta determinados comandos que recibe de forma remota desde un usuario malicioso. De esta forma pone en gran peligro el equipo afectado y la información del mismo.

Recopila información específica del sistema afectado.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\checkdns.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Este malware infiltra el/los siguiente(s) archivo(s):

• %WINDOWS%\msgpluse.dll - detected as BKDR_NUPIC.RQ

Agrega los procesos siguientes:

• iexplore.exe

Este malware se inyecta en los siguientes procesos que se ejecutan en la memoria:

• created iexplore.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{57098B79-D61B-4c35-98DE-5A042D455155}
StubPath = "%Application Data%\checkdns.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKLM\SOFTWARE\Microsoft\
Active Setup\Installed Components\{57098B79-D61B-4c35-98DE-5A042D455155}

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Enumerate files and folders
• Enumerate fixed drives and retrieve free disk space
• Delete files and folders
• Download arbitrary files
• Upload files
• Execute cmd shell commands
• Create a Process
• Enumerate Processes and Modules
• Terminate Process

Rutina de infiltración

Este malware infiltra el/los siguiente(s) archivo(s), en el cual/los cuales guarda la información recopilada:

• %Windows%\mss{random characters}.tmp - where cmd shell commands output are piped into
• %User Temp%\msextlog.dll - where cmd shell commands output are piped into
• %User Temp%\msp{random characters}.tmp - where the enumerated processes and modules are saved
• %User Temp%\mspli02.tmp - where the enumerated processes and modules are saved

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Robo de información

Recopila la siguiente información del sistema afectado:

• Host name
• IP address
• Proxy server