JAVA_ADWIND.AUJC

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %User Profile%\SSyjJfwfiRB\JFCQAmPESvV.FAdufi

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Infiltra los archivos siguientes:

• %System%\test.txt -> used to check for admin rights
• %User Profile%\{SSyjJfwfiRB}\ID.txt -> contains UUID
• %User Temp%\Retrive{random numbers}.vbs -> script to detect installed AV security and Firewall products (deleted after execution)
• %User Profile%\fUTkALeaTxM\ID.txt -> contains UUID
• %User Temp%\hsperfdata_{username}\{random} -> contains details of the malware
• %ProgramData%\Java\.oracle_jre_usage\{random}.timestamp -> time usage of oracle

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\0.{random numbers}.class -> class to be loaded by main executable JAR, also detected as JAVA_ADWIND.AUJC

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Agrega los procesos siguientes:

• attrib +h "%User Profile%\{random characters}\*.*" -> set attribute of all files under the folder to hidden
• attrib +h "%User Profile%\{random characters}" -> set attribute of folder to hidden
• xcopy "%Program Files%\Java\jre{version}" "%Application Data%\Oracle\" /e -> copy files and directory trees of Java Installation folder to %Application Data%\Oracle folder

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Crea las carpetas siguientes:

• %Application Data%\Oracle
• %User Profile%\fUTkALeaTxM
• %User Profile%\SSyjJfwfiRB\ELuWKLWnsRe -> plugin folder
• %User Profile%\SSyjJfwfiRB
• %User Temp%\hsperfdata_{User Name}
• %ProgramData%\Java\.oracle_jre_usage

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
fgovbdbXqNj = %Application Data%\Oracle\bin\javaw.exe" -jar "%User Profile%\SSyjJfwfiRB\JFCQAmPESvV.FAdufi"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download Plug-ins
• Download and Execute Files
• Update itself
• Uninstall itself
• Reset Connection
• Terminate Process
• Sceen Capture
• Access Webcam
• Log Keystrokes

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}bk.{BLOCKED}s.net:6050