Trojan.Win32.REMUTIL.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %Application Data%\Remote Utilities Agent\Logs\rut_log_{YYYY}-{MM}.html → logs of connections
• %User Temp%\restart_{GUID}.cmd → if the parameter 'restart' is present

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• {Directory}\vmstoolbox.exe /tray /user

Crea las carpetas siguientes:

• %Application Data%\Remote Utilities Agent
• %Application Data%\Remote Utilities Agent\Logs

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\RMSServerGlobal
• Global\RMSServerConfig
• Global\RMSGlobalHost
• Global\RMSServerGlobalStarter
• madExceptSettingsMtx{random characters}

Otras modificaciones del sistema

Elimina las carpetas siguientes:

• %User Temp%\{Malware filename w/o .exe}.madExcept

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Rutina de puerta trasera

Este malware abre el/los siguiente(s) puerto(s) donde realiza escuchas sobre comandos remotos:

• 5650

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Synergistically lashing

HKEY_CURRENT_USER\Software\Synergistically lashing\
Host

HKEY_CURRENT_USER\Software\Synergistically lashing\
Host\Parameters

HKEY_CURRENT_USER\Software\Synergistically lashing\
Host\Parameters
FUSClientPath = {Malware directory}\vmstoolbox.exe

HKEY_CURRENT_USER\Software\Synergistically lashing\
Host\Parameters
General = {hex values}

HKEY_CURRENT_USER\Software\Synergistically lashing\
Host\Parameters
InternetId = {hex values}

HKEY_CURRENT_USER\Software\Synergistically lashing\
Host\Parameters
Security = {hex values}

HKEY_CURRENT_USER\Software\Synergistically lashing\
Host\Parameters
Certificates = {hex values}