WORM_WIPMBR.A

Llega tras acceder a redes compartidas afectadas.

Se conecta a un sitio Web para enviar y recibir información.

Detalles de entrada

Llega tras acceder a redes compartidas afectadas.

Instalación

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• %System%\trksvr.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Este malware infiltra el/los siguiente(s) archivo(s):

• {Malware Path}\f1.inf
• {Malware Path}\f2.inf
• %Windows%\inf\netfb318.pnf

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\TrkSvr
ImagePath = "%System Root%\System32\svchost.exe -k NetworkService"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\drdisk
ImagePath = "%System%\Drivers\drdisk.sys"

Otras modificaciones del sistema

Este malware modifica la(s) siguiente(s) entrada(s)/clave(s) de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\LanmanWorkstation
DependOnService = "Browser MRxSmb10 MRxSmb20 NSI TrkSvr"

(Note: The default value data of the said registry entry is Browser MRxSmb10 MRxSmb20 NSI.)

Propagación

Usa los siguientes nombres de archivo para las copias que infiltra en las redes compartidas:

• sc.exe
• findstr.exe
• caclsrv.exe
• certutl.exe
• clean.exe
• ctrl.exe
• dfrag.exe
• dnslookup.exe
• dvdquery.exe
• event.exe
• extract.exe
• findfile.exe
• fsutl.exe
• gpget.exe
• iissrv.exe
• ipsecure.exe
• msinit.exe
• netx.exe
• ntdsutl.exe
• ntfrsutil.exe
• ntnw.exe
• power.exe
• rdsadmin.exe
• regsys.exe
• routeman.exe
• rrasrv.exe
• sacses.exe
• sfmsc.exe
• sigver.exe
• smbinit.exe
• wcscript.exe

Rutina de puerta trasera

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.252.19/ajax_modal/modal/data.asp