BKDR_SHOTODOR.VH

Agrega determinadas entradas de registro para desactivar el Administrador de tareas. Esta acción impide que el usuario lleve a cabo la cancelación del proceso de malware, la cual suele realizarse a través del Administrador de tareas.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Instalación

Infiltra los archivos siguientes:

• %User Profile%\{random folder name 1}\wdsrvqxx
• %User Profile%\{random folder name 1}\uzklce.TNQ
• %User Profile%\{random folder name 1}\swqtcntxrk.XIM
• %Application Data%\pid.txt
• %Application Data%\pidloc.txt
• %User Temp%\screens\screenshot{number}.jpeg

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Infiltra y ejecuta los archivos siguientes:

• %User Profile%\{random folder name 1}\hotlss.exe

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Crea las carpetas siguientes:

• %User Profile%\{random folder name 1}
• %User Temp%\screens

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Este malware permanece como residente en memoria mediante la inyección de códigos en los siguientes procesos:

• RegSvcs.exe (v2.0.50727)
• RegAsm.exe (v2.0.50727)
• AppLaunch.exe (v2.0.50727)
• RegSvcs.exe (v4.0.30319)
• RegAsm.exe (v4.0.30319)
• AppLaunch.exe (v4.0.30319)
• twunk_32.exe
• newdev.exe
• ndadmin.exe

Técnica de inicio automático

Infiltra los archivos siguientes:

• %User Profile%\{random folder name 1}\ftprvuzx.cmd - batch file to execute the malware script
• %User Profile%\{random folder name 1}\yvrmcxfibuhla.vbs - vbscript file to execute the dropped batch file
• %User Profile%\{random folder name 1}\run.vbs

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Crea las siguientes entradas de registro para activar la ejecución automática del componente infiltrado cada vez que arranque el sistema:

HKCU\Software\Microsoft\
Windows\CurrentVersion\RunOnce
%User Profile%\{random folder name 1} = "%User Profile%\{random folder name 1}\yvrmcxfibuhla.vbs"

Infiltra el siguiente acceso directo dirigido a su copia en la carpeta de inicio del usuario para que se ejecute automáticamente cada vez que arranque el sistema:

• %Start Menu%\start.lnk

(Nota: %Start Menu% es la carpeta Menú Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Menú Inicio).

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE64\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

(Note: The default value data of the said registry entry is 1.)

Agrega las siguientes entradas de registro para desactivar el Administrador de tareas:

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

(Note: The default value data of the said registry entry is 0.)

Modifica las siguientes entradas de registro para ocultar archivos con atributos ocultos:

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER64\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(Note: The default value data of the said registry entry is 1.)

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Delete all registry entries in:
  • HKCU64\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  • HKLM64\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
• Log Keystrokes
• Download File
• Open Process
• Manipulate the following to send messages:
  • Skype
  • Facebook
  • Steam
  • Omegle
  • RuneScape

Robo de información

Recopila los siguientes datos:

• malware process id
• malware path
• hostname
• Screenshots
• Keyboard Strokes
• Clipboard Data
• System Time
• Internal Language
• Operating System
• Internal IP
• External IP
• AntiVirus Installed
• Firewall Installed
• Current Active Window

Información sustraída

Este malware envía los datos que recopila a las siguientes direcciones de correo electrónico a través de SMTP:

• {BLOCKED}orlogzzz@{BLOCKED}il.com