PE_MEWSPY.A-O

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{random folder}\{random filename 2}.exe
• %ProgramData%\{random folder}\{random filename 2}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Application Data%\{random folder}\{random filename}.mui
• %Application Data%\{random folder}\{random folder 2}\{random filename 3}.sys
• %ProgramData%\{random folder}\{random filename 4}.ocx
• %ProgramData%\{random folder}\{random filename 5}.mui
• %ProgramData%\{random folder}\{random filename 6}.cat
• %ProgramData%\{random folder}\{random filename 7}
• %ProgramData%\{random folder}\{random folder 3}\{random filename 8}.sys
• %ProgramData%\{random folder}\{random folder 3}\{random filename 9}.cat
• %ProgramData%\{random folder}\{random folder 4}\{random folder 5}\{random filename 10}.sys
• %ProgramData%\{random folder}\{random folder 4}\{random folder 5}\{random filename 11}.drv
• %ProgramData%\{random folder}\{random folder 4}\{random folder 5}\{random filename 12}.dmp
• %ProgramData%\{random folder}\{random folder 4}\{random folder 5}.dmp
• %ProgramData%\{random folder}\{random folder 4}\{random folder 5}.drv
• %ProgramData%\{random folder}\{random filename 7}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\{random folder}
• %ProgramData%\{random folder}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random}
ImagePath = "%Application Data%\{random folder}\[random filename 2}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\{random}
ObjectName = "LocalSystem"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\AppCompat

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\AppCompat

HKEY_USERS\{SID}\{random key}

Agrega las siguientes entradas de registro:

HKEY_USERS\{SID}\{random key}\
shell\open\command
(Default) = "%Application Data%\{random folder}\[random filename 2}.exe" /START "%1" %*

HKEY_USERS\{SID}\{random key}\
shell\open\command
IsolatedCommand = "%Application Data%\{random folder}\[random filename 2}.exe" /START "%1" %*

HKEY_USERS\{SID}\{random key}\
shell\runas\command
(Default) = "%Application Data%\{random folder}\[random filename 2}.exe" /RUNAS /START "%1" %*

HKEY_USERS\{SID}\{random key}\
shell\runas\command
IsolatedCommand = "%Application Data%\{random folder}\[random filename 2}.exe" /RUNAS /START "%1" %*

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\AppCompat
DisablePCA = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\AppCompat
DisablePCA = "1"