BKDR_IRCFLOOD.AL
Backdoor:Win32/IRCbot (Microsoft); W32/Sdbot.worm!qh (McAfee); Hacktool (Symantec); Client-IRC.Win32.mIRC.603 (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); Trojan horse IRC/BackDoor.SdBot4.HER (AVG)
Windows 2000, Windows XP, Windows Server 2003
Threat Type:
Backdoor
Destructiveness:
No
Encrypted:
In the wild::
Yes
OVERVIEW
TECHNICAL DETAILS
Instalación
Crea las carpetas siguientes:
- %System Root%\..........
- %System Root%\......
- %System Root%\........
(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).
)Otras modificaciones del sistema
Agrega las siguientes entradas de registro como parte de la rutina de instalación:
HKEY_CURRENT_USER\Software\mIRC
HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC
HKEY_CLASSES_ROOT\.cha
HKEY_CLASSES_ROOT\.chat
HKEY_CLASSES_ROOT\ChatFile
HKEY_CLASSES_ROOT\ChatFile\DefaultIcon
HKEY_CLASSES_ROOT\ChatFile\Shell\
open\command
HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec
HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\Application
HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\ifexec
HKEY_CLASSES_ROOT\ChatFile\Shell\
open\ddeexec\Topic
HKEY_LOCAL_MACHINE\Software\Classes\
irc
HKEY_LOCAL_MACHINE\Software\Classes\
irc\DefaultIcon
HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
command
HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec
HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\Application
HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\ifexec
HKEY_LOCAL_MACHINE\Software\Classes\
irc\Shell\open\
ddeexec\Topic
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
Agrega las siguientes entradas de registro:
HKEY_CURRENT_USER\Software\mIRC
DateUsed = "1369907216"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC
DisplayName = "mIRC"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Uninstall\
mIRC
UninstallString = "{malware path and file name} -uninstall"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
irc
EditFlags = "{random values}"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
VoiceEnabled = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseVoiceTips = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
KeyHoldHotKey = "91"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseBeepSRPrompt = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SRTimerDelay = "7d"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SRModeID = "{random values}"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
EnableSpeaking = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseBalloon = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseCharacterFont = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
UseSoundEffects = "1"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
SpeakingSpeed = "5"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetX = "f423f"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetY = "f423f"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetWidth = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetHeight = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
PropertySheetPage = "0"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowLeft = "ffffffff"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowTop = "ffffffff"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowWidth = "c8"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowHeight = "c8"
HKEY_CURRENT_USER\Software\Microsoft\
Microsoft Agent
CommandsWindowLocationSet = "0"
SOLUTION
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 2
Eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software
- mIRC
- In HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Uninstall
- mIRC
- In HKEY_CLASSES_ROOT
- .cha
- In HKEY_CLASSES_ROOT
- .chat
- In HKEY_CLASSES_ROOT
- ChatFile
- In HKEY_CLASSES_ROOT\ChatFile
- DefaultIcon
- In HKEY_CLASSES_ROOT\ChatFile\Shell\open
- command
- In HKEY_CLASSES_ROOT\ChatFile\Shell\open
- ddeexec
- In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- Application
- In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- ifexec
- In HKEY_CLASSES_ROOT\ChatFile\Shell\open\ddeexec
- Topic
- In HKEY_LOCAL_MACHINE\Software\Classes
- irc
- In HKEY_LOCAL_MACHINE\Software\Classes\irc
- DefaultIcon
- In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open
- command
- In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open
- ddeexec
- In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- Application
- In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- ifexec
- In HKEY_LOCAL_MACHINE\Software\Classes\irc\Shell\open\ddeexec
- Topic
- In HKEY_CURRENT_USER\Software\Microsoft
- Microsoft Agent
Step 3
Eliminar este valor del Registro
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_CURRENT_USER\Software\mIRC
- DateUsed = "1369907216"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mIRC
- DisplayName = "mIRC"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\mIRC
- UninstallString = "{malware path and file name} -uninstall"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\irc
- EditFlags = "{random values}"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- VoiceEnabled = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseVoiceTips = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- KeyHoldHotKey = "91"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseBeepSRPrompt = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SRTimerDelay = "7d"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SRModeID = "{random values}"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- EnableSpeaking = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseBalloon = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseCharacterFont = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- UseSoundEffects = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- SpeakingSpeed = "5"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetX = "f423f"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetY = "f423f"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetWidth = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetHeight = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- PropertySheetPage = "0"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowLeft = "ffffffff"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowTop = "ffffffff"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowWidth = "c8"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowHeight = "c8"
- In HKEY_CURRENT_USER\Software\Microsoft\Microsoft Agent
- CommandsWindowLocationSet = "0"
Step 4
Buscar y eliminar estas carpetas
- %System Root%\..........
- %System Root%\......
- %System Root%\........
Step 5
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como BKDR_IRCFLOOD.AL En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Did this description help? Tell us how we did.