PE_NESHTA.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Antepone sus códigos a los archivos de destino.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %Windows%\svchost.com → detected as PE_NESHTA.A-O
• %User Temp%\3582-490\{Malware Filename} → clean version of infected file
• %User Temp%\tmp5023.tmp

Agrega los procesos siguientes:

• %User Temp%\3582-490\{Malware Filename}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Crea las carpetas siguientes:

• %User Temp%\3582-490\

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• MutexPolesskayaGlush*.*{\xc2\x90}svchost.com\xc2\x90exefile\shell\open\command\xe2\x80\xb9\xc3\x80 "%1" %*\xc5\x93\xe2\x80\x98@

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
exefile\shell\open\
command
(Default) = "%Windows%\svchost.com "%1" %*"

Infección de archivo

Infecta los siguientes tipos de archivo:

• EXE

Antepone sus códigos a los archivos de destino.

Evita infectar carpetas que contienen las cadenas siguientes:

• PROGRA~1
• %Windows%
• %Temp%

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Evita infectar archivos de los tamaños siguientes:

• less than 41,472 bytes or greater than 10,000,000 bytes

Ésta es la detección de Trend Micro de archivos infectados por:

• PE_NESHTA.A-O

Otros detalles

Hace lo siguiente:

• It avoids infecting files from the following drives:
  • CD-ROM
  • A:\
  • B:\