Backdoor.Win32.PLUGX.DUKTA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Este malware no tiene ninguna rutina de propagación.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %All Users Profile%\xs\{Characters based on volume serial number} (if OS version is higher than or equal to Windows Vista)
• %All Users Profile%\DRM\xs\{Characters based on volume serial number} (if OS version is lower than or equal to Windows Server 2003 R2)

Agrega los procesos siguientes:

• "%System%\rundll32.exe" "%System%\wininet.DLL",DispatchAPICall 1

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• !@)*#()!@*#)(@!*#)(@!*#()@!&%$*(@#&Y*($@YHR*(IUYH*(!Y$@&*&Y@GRH&*@!YR*@&$R(*@!&U!@!@#@!#@!#@!#@#@!#@#@*U$()!@U$Y#H*(!$Y*&@!$Y#
• Global\{Characters based on process ID}

Técnica de inicio automático

Crea las siguientes entradas de registro para activar la ejecución automática del componente infiltrado cada vez que arranque el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
HelpPanes = %Windows%\HelpPanes.exe

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Copy, move, rename, delete files
• Create directories
• Create files
• Enumerate files
• Execute files
• Get drive information
• Get file information
• Open and modify files
• Log keystrokes and active window
• Enumerate TCP and UDP connections
• Enumerate network resources
• Set TCP connection state
• Lock workstation
• Log off user
• Restart/Reboot/Shutdown system
• Display a message box
• Perfrom port mapping
• Enumerate processes
• Get process information
• Terminate processes
• Enumerate registry keys
• Create registry keys
• Delete registry keys
• Copy registry keys
• Enumerate registry entries
• Modify registry entries
• Delete registry values
• Screen capture
• Delete services
• Enumerate services
• Get service information
• Modify services
• Start services
• Perform remote shell
• Host Telnet server
• Connect to a database server and execute SQL statement

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://active.{BLOCKED}app.com:53/{Random characters}

Otros detalles

Hace lo siguiente:

• It renames itself to %Windows\HelpPanes.exe.