BKDR_PRORAT.SMA

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Abre un puerto aleatorio para que un usuario remoto pueda conectarse al sistema afectado. Una vez se ha establecido la comunicación correctamente, el usuario remoto ejecuta los comandos en el sistema afectado. Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\services.exe
• %Windows%\system\sservice.exe
• %System%\fservice.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{5Y99AE78-58TT-11dW-BE53-Y67078979Y}
StubPath = "%System%\sservice.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
DirectX For Microsoft® Windows = "%System%\fservice.exe"

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe %System%\fservice.exe"

(Note: The default value data of the said registry entry is Explorer.exe.)

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %System%\Restore\MachineGuid.txt

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
Bulas = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
FW_KILL = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
XP_FW_Disable = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
XP_SYS_Recovery = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
ICQ_UIN = "xnt/on,hq/bnl"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
ICQ_UIN2 = "046007686"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
Kurban_Ismi = "whbuhl"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
Mail = "exeukrsk034Ao`wds/bnl"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
Online_List = "iuuq;..vvv/xntsrhud/bnl.bfh,cho.qsns`u/bfh"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
Port = "4001"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
Sifre = "032547"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
Hata = ""

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
KSil = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
LanNotifie = ""

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
Tport = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings
ServerVersionIn = "19"

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT Script Host\Microsoft DxDiag\WinSettings

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Active Setup\Installed Components\{5Y99AE78-58TT-11dW-BE53-Y67078979Y}

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\sr\Parameters
FirstRun = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\srservice
Start = "4"

(Note: The default value data of the said registry entry is 2.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\sr
Start = "4"

(Note: The default value data of the said registry entry is 0.)

Rutina de puerta trasera

Abre un puerto aleatorio para que un usuario remoto pueda conectarse al sistema afectado. Una vez se ha establecido la comunicación correctamente, el usuario remoto ejecuta los comandos en el sistema afectado.

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Modify Internet Explorer's homepage
• Open and close CD tray
• Format C:\ and D:\ drive
• Shutdown the system
• Retrieves the following data from the system:
• - Computer name
• - Username
• - Windows Version
• - Windows Language
• - %Windows% Folder Path
• - %System% Folder Path
• - %User Temp% Folder Path
• - Internet Explorer Version
• - Processor Name
• - CPU Speed
• Monitors usernames and passwords in the following messaging applications:
• - ICQ
• - MSN Messenger
• - Yahoo!\Messenger
• - Outlook Express
• - NetMeeting
• Start or stop services
• Create, open, close, or delete files
• Obtain email addresses by accessing the following:
• - Outlook Adress Book
• - Messenger Adress Book
• - Trillian Adress Book
• Monitors visited sites

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Rutina de infiltración

Infiltra los archivos siguientes:

• %System%\winkey.dll - detected as BKDR_PRORAT.BL
• %System%\reginv.dl - ldetected as BKDR_PRORAT.BL
• %Windows%\ktd32.atm - contains title name of open windows

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).