TROJ_FAKEAV.TUE

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Este malware no tiene ninguna capacidad para realizar descargas.

Si el usuario accede a comprar el software, se conecta a una URL determinada. Muestra una ventana en la que el usuario puede comprar este programa antivirus falso.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %All Users Profile%\Application Data\{random folder name}\{random file name}.exe

Infiltra los archivos siguientes:

• %All Users Profile%\Application Data\{random folder name}\{random file name}.ico
• %Desktop%\System Care Antivirus.lnk
• %Start Menu%\Programs\System Care Antivirus\System Care Antivirus.lnk
• %All Users Profile%\Application Data\{random folder name}\{random file name}

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Escritorio).

Crea las carpetas siguientes:

• %Start Menu%\Programs\System Care Antivirus
• %All Users Profile%\Application Data\{random folder name}

(Nota: %Start Menu% es la carpeta Menú Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Menú Inicio).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{random file name} = "%All Users Profile%\Application Data\{random folder name}\{random file name}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\{random key}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Installer\Products\{random key}
(Default) = "1"

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Rutina de descarga

Este malware no tiene ninguna capacidad para realizar descargas.

Rutina de antivirus falso

Muestra los siguientes avisos falsos:

Si el usuario accede a comprar el software, se conecta a la siguiente URL para continuar con la adquisición:

• http://{BLOCKED}ersec.com/p/?{parameters}
• http://{BLOCKED}unit.com/p/?{parameters}
• http://{BLOCKED}esoft.com/?{parameters}
• http://{BLOCKED}rs.com/p/?{parameters}
• http://{BLOCKED}rketpay.com/p/?{parameters}
• http://{BLOCKED}oint.com/p/? {parameters}
• http://{BLOCKED}ysafe.com/p/?{parameters}
• http://{BLOCKED}ter.com/p/?{parameters}

Se muestra al usuario la siguiente ventana para que compre el programa antivirus falso:

• 
• It may show other window, however some are inaccessible as of this writing.

Muestra la siguiente ventana y hace creer que explora el sistema: