Worm.VBS.DUNIHI.AAYSYU

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Recopila determinada información del equipo afectado.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• {Infected Removable Drive Letter}:\KaeQrnvNzZ

Infiltra los archivos siguientes:

• %User Temp%\eco\{Malware File Name}.vbs
• %User Temp%\eco\svchost.exe
• %User Startup%\{Malware File Name}.vbs
• {Infected Removable Drive Letter}:\KaeQrnvNzZ\{Malware Name}.vbs → attributes set to System & Hidden

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Agrega los procesos siguientes:

• "%User Temp%\eco\svchost.exe" //B "%User Temp%\eco\{Malware File Name}.vbs"

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Malware File Name} = %User Temp%\eco\svchost.exe //B "%User Temp%\eco\{Malware File Name}.vbs"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{Malware File Name} = %User Temp%\eco\svchost.exe //B "%User Temp%\eco\{Malware File Name}.vbs"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKLM\SOFTWARE\{Malware File Name}
(Default) = false - {Malware Execution Date}

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• "execute" - Executes arbitrary command from the C&C server
• "update" - Updates malware code and restart the malware
• "uninstall" - Uninstalls the malware
• "send" - Downloads a file from the C&C server, saves it in a specified directory and run it
• "site-send" - Downloads a file from the C&C server and run it
• "recv" - Sends a file from a specified URL to the C&C server
• "enum-driver " - Retrieves list of drives
• "enum-faf" - Retrieves information about files and folders in a specified directory
• "enum-process" - Retrieves information about running processes
• "cmd-shell" - Executes a command using Command Prompt and retrieves its output
• "delete" - Deletes a file or folder
• "exit-process" - Forcefully terminates a process and all its children
• "sleep" - Running script sleeps for a specified amount of time

Robo de información

Recopila la siguiente información del equipo afectado:

• Computer Name
• Username
• OS Information
• Volume Serial Number
• Every Antivirus Installed in System
• USB spreading report

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKLM\SOFTWARE\{Malware File Name}

Hace lo siguiente:

• It sets the attributes of non-LNK files and folders in the infected drive to System & Hidden