TSPY_EMOTET.WJSX

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\Identities\{random filename}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Este malware infiltra el/los siguiente(s) archivo(s):

• %Application Data%\ms{random numbers}.bat - used to delete initially executed copy

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• ci{process ID of injected explorer.exe in hex}
• cm{process ID of injected explorer.exe in hex}
• rm{random}
• qazwsxedc

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• explorer.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename}.exe = "%Application Data%\Identities\{random filename}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Netscape\
5.0\{random}\{random}

HKEY_CURRENT_USER\Software\????????????????????????????????????????????????

Robo de información

Recopila los siguientes datos:

• computer name
• country
• volume information
• operating system

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.26.52:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.86.207:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.123.186:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.170.164:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.220.50:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.17.185:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.199.119:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.174.144:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.249.53:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.59.161:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.169.146:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.162.180:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.111.17:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.1.22:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.231.167:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.54.24:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.99.214:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.59.191:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.110.43:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.24.35:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.174.192:8080/{random}/{random}/
• http://{BLOCKED}.{BLOCKED}.213.92:8080/{random}/{random}/