TROJ_DLOADR.PBN

Publish date: 01 de marzo de 2017

Alias

Trojan:Win32/Starter.P (Microsoft); GenericR-JFA!EB1595D3F83F (McAfee); Trojan.Gen.2 (Symantec); Trojan.Win32.Poweliks.muc (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); Trojan horse Atros4.CHHP (AVG)

Plataforma:

Windows

Riesgo general:

Potencial de destrucción:

Potencial de distribución:

Infección divulgada:

Bajo

Medio

High

Crítico

Tipo de malware
Trojan
Destructivo?
No
Cifrado
In the Wild:
Sí

Resumen y descripción

Este malware se elimina tras la ejecución.

Detalles técnicos

Tamaño del archivo 340,261 bytes

Tipo de archivo EXE

Residente en memoria No

Fecha de recepción de las muestras iniciales 01 Mar 2017

Instalación

Crea las carpetas siguientes:

%Application Data%\oxin
%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content
%System Root%\_132859_
%System Root%\a97244e8b3f71f7236e4
%System Root%\a97244e8b3f71f7236e4\update

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

. %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

. %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION

HKEY_CURRENT_USER\Software\qanz

HKEY_LOCAL_MACHINE\SOFTWARE\qanz

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate\
OSUpgrade

HKEY_LOCAL_MACHINE\SOFTWARE\82C1F4D08670C192F

HKEY_LOCAL_MACHINE\SOFTWARE\E9C96D5F606A837CAFD

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = "22b8"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = "22b8"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = "22b8"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = "22b8"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate
DisableOSUpgrade = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\WindowsUpdate\
OSUpgrade
ReservationsAllowed = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\qanz
ltpxeirzlt = "eGwRi8NpBWGNqg=="

HKEY_CURRENT_USER\Software\qanz
ltpxeirzlt = "Ij4XipZsVHml+A=="

HKEY_LOCAL_MACHINE\SOFTWARE\qanz
bjtkim = "I2tG3sdsBGemTA4oYqMyFRTHNDO4bjg="

HKEY_CURRENT_USER\Software\qanz
bjtkim = "cjlFipMxVp+g4EIgI9u4tEr5Z649ngE="

HKEY_LOCAL_MACHINE\SOFTWARE\qanz
eljz = "cGlHj54xB1rhUeeXNO7RpAY="

HKEY_CURRENT_USER\Software\qanz
eljz = "dzhM25A4WSG75+fkg/Bw7F4="

HKEY_LOCAL_MACHINE\SOFTWARE\qanz
zojewbdazo = "{random characters}"

HKEY_CURRENT_USER\Software\qanz
zojewbdazo = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\qanz
kqdg = "{random characters}"

HKEY_CURRENT_USER\Software\qanz
kqdg = "{random characters}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
DE28F4A4FFE5B92FA3C503D1A349A7F9962A8212
Blob = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\82C1F4D08670C192F
B6320AEC052EEDC4 = "B6320AEC052EEDC4"

HKEY_LOCAL_MACHINE\SOFTWARE\E9C96D5F606A837CAFD
A0ABF645FF30F8D44 = "A0ABF645FF30F8D44"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Setup
LogLevel = "2"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Setup
LogLevel = "0"

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1206 = "0"

(Note: The default value data of the said registry entry is 3.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2300 = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1809 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
1206 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
2300 = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
1809 = "3"

(Note: The default value data of the said registry entry is 3.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"