Análisis realizado por : Roland Marco Dela Paz   
 Plataforma:

Windows 2000, XP, Server 2003

 Riesgo general:
 Potencial de destrucción:
 Potencial de distribución:
 Infección divulgada:
Bajo
Medio
High
Crítico

  • Tipo de malware
    Trojan

  • Destructivo?
    No

  • Cifrado
    Sí

  • In the Wild:
    Sí


  Detalles técnicos

Tamaño del archivo 492,032 bytes
Tipo de archivo PE
Residente en memoria Sí
Fecha de recepción de las muestras iniciales 07 Aug 2010

Instalación

Agrega las carpetas siguientes:

  • %Application Data%\SystemProc
  • %Program Files%\Mozilla Firefox
  • %Program Files%\Mozilla Firefox\extensions
  • %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}
  • %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}\chrome
  • %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}\chrome\content

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

. %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
RTHDBPL = %Application Data%\SystemProc\lsass.exe

Infiltra los archivos siguientes:

  • %Application Data%\SystemProc\lsass.exe - copy of itself
  • %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}\chrome\content\timer.xul - non-malicious component
  • %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}\install.rdf - non-malicious component
  • %Program Files%\Mozilla Firefox\extensions\{Firefox CLSID}\chrome.manifest - non-malicious component

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

. %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Identities
Curr version = 25

HKEY_CURRENT_USER\Identities
Last Date = {date}

HKEY_CURRENT_USER\Identities
Inst Date = {date}

HKEY_CURRENT_USER\Identities
Popup count = 0

HKEY_CURRENT_USER\Identities
Popup time = 0

HKEY_CURRENT_USER\Identities
Popup date = 0

HKEY_CURRENT_USER\Identities
KillSelf = ok

HKEY_CURRENT_USER\Identities
First Start = {malware path and filename}

HKEY_CURRENT_USER\Identities
Send Inst = ok

Sobre el malware