BKDR_PLUGX.CA

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Este malware se elimina tras la ejecución.

Instalación

Crea las carpetas siguientes:

• %All Users Profile%\SxS
• %User Temp%\RarSFX0

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• DoInstPrepare

Este malware permanece como residente en memoria mediante la inyección de códigos en los siguientes procesos:

• svchost.exe

Técnica de inicio automático

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS\Security

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS\Enum

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\FAST

HKEY_LOCAL_MACHINE\FAST

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_UPS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_UPS\
0000

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_UPS\
0000\Control

Agrega las siguientes entradas de registro:

HKEY_CLASSES_ROOT\FAST
CLSID = "{random hex values}"

HKEY_LOCAL_MACHINE\FAST
CLSID = "{random hex values}"

Este malware modifica la(s) siguiente(s) entrada(s)/clave(s) de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
ImagePath = ""%System%\Nv.exe" 2000"

(Note: The default value data of the said registry entry is "%System%\ups.exe".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
Type = "110"

(Note: The default value data of the said registry entry is "10".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
Start = "2"

(Note: The default value data of the said registry entry is "3".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
ErrorControl = "0"

(Note: The default value data of the said registry entry is "1".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
DisplayName = "ups"

(Note: The default value data of the said registry entry is "Uninterruptible Power Suply".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
ObjecName = "LocalSystem"

(Note: The default value data of the said registry entry is "NT AUTHORITY\LocalSevice".)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UPS
Description = "ups"

(Note: The default value data of the said registry entry is "Manages an uninterruptible power supply (UPS) connected to the computer".)

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Copy, move, rename, delete files
• Create directories
• Create files
• Enumerate files
• Execute files
• Get drive information
• Get file information
• Open and modify files
• Log keystrokes and active window
• Enumerate TCP and UDP connections
• Enumerate network resources
• Set TCP connection state
• Lock workstation
• Log off user
• Restart/Reboot system
• Display a message box
• Perfrom port mapping
• Enumerate processes
• Get process information
• Terminate processes
• Enumerate registry keys
• Create registry keys
• Delete registry keys
• Copy registry keys
• Enumerate registry entries
• Modify registry entries
• Delete registry values
• Screen capture
• Delete services
• Enumerate services
• Get service information
• Modify services
• Start services
• Perform remote shell
• Connect to a database server and execute SQL statement
• Host Telnet server

Se conecta a los sitios Web siguientes para enviar y recibir información:

• fuckchina.{BLOCKED}b.com
• wmi.{BLOCKED}1.us

Rutina de infiltración

Infiltra los archivos siguientes:

• %User Temp%\RarSFX0\Nv.mp3
• %User Temp%\RarSFX0\NvSmartMax.dll - also detected as BKDR_PLUGX.CA
• %User Temp%\RarSFX0\Nv.exe
• %System%\Nv.mp3 - (hidden)
• %System%\NvSmartMax.dll - (hidden) also detected as BKDR_PLUGX.CA
• %System%\Nv.exe - (hidden)

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Robo de información

Acepta los siguientes parámetros:

• -k

Otros detalles

Este malware se elimina tras la ejecución.