TROJ_INCURE.A

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Tamaño del archivo 21,735,769 bytes

Tipo de archivo EXE

Residente en memoria Sí

Fecha de recepción de las muestras iniciales 11 Apr 2014

Instalación

Crea las carpetas siguientes:

%System Root%\DOCUME~1
%System Root%\DOCUME~1\Wilbert
%User Profile%\LOCALS~1
%User Temp%\Agent
%User Temp%\nsz6.tmp
%System%\Infosecure
%System%\Infosecure\File
%System%\Infosecure\Count
%System%\Infosecure\Log
%System%\Infosecure\Netinfo
%System%\Infosecure\Netinfo\Log
%System%\Infosecure\Netinfo\count
%System%\Infosecure\Netinfo\Ftp
%System%\Infosecure\Netinfo\Ftp\Temp
%System%\Infosecure\NetInfo
%System%\Infosecure\NetInfo\Log
%System%\Infosecure\NetInfo\Count
%System%\Infosecure\NetInfo\Ftp
%System%\Infosecure\NetInfo\Ftp\Temp
%System%\Infosecure\NetInfo\Bin
%System%\Infosecure\NetInfo\Config
%System%\Infosecure\NetInfo\driver
%System%\Infosecure\NetInfo\driver\CISCO350
%System%\Infosecure\NetInfo\driver\CISCO350\2K
%System%\Infosecure\NetInfo\driver\CISCO350\XP

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

. %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Técnica de inicio automático

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\zzz_1_00_00

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\zzz_1_00_11

Otras modificaciones del sistema

Elimina los archivos siguientes:

%User Temp%\nsl1.tmp
%User Temp%\nsz6.tmp
%System%\Infosecure\Svc.exe
%System Root%\uninstall.exe
%System%\uninstall.exe
%System%\AD_19.dat
%System%\Infosecure\Netinfo\Bin\DsClientNetInfo.exe
%System%\INFOSECURE\NETINFO\Config\NARules.ldb
%System%\infosecure\test.txt

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

. %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

)

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal\
Ms IAP Service

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network\
Ms IAP Service

HKEY_LOCAL_MACHINE\Software\DsClientRSvr

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion
Agent = "install"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
DisplayName = "Ms IAP Service"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
ImagePath = "%System%\Infosecure\DsClientSvc.exe"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
Type = "11"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
3474:TCP = "3474:TCP:*:Enabled:DsClientRSvr"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\GloballyOpenPorts\
List
3474:TCP = "3474:TCP:*:Enabled:DsClientRSvr"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Jet\4.0\Engines
SandBoxMode = "2"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Ms IAP Service
ImagePath = "%System%\infosecure\DsClientSvc.exe"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{00000100-0000-0010-8000-00AA006D2EA4}\InprocServer32
ThreadingModel = "Apartment"