BKDR_TELEBOT.VBS

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Instalación

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\~DF{random}.bat ← used to update/delete itself; deleted afterwards

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Windows Defender (if running as Admin)
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Windows Defender (if running as Admin)
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Windows Defender (if running as Admin)
ImagePath = "%System%\cmd.exe /c {malware path and filename}"

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run (if not running as Admin)
csrss.exe = "{malware path and filename}"

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\Windows Defender (if running as Admin)

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• kernel32.dll - Execute shell command w/o feedback
• ws2_32.dll - Execute file remotely across network
• wscapi.dll - Execute shell command w/ feedback
• wsock32.dll - Decode date and save to file
• CertEnroll.dll - Update self
• ddraw.dll - Get malware version
• esent.dll - Set sleep time
• imapi2.dll - Terminate itself
• mscoree.dll - Delete and terminate itself
• netapi32.dll - Upload file

Se conecta a los sitios Web siguientes para enviar y recibir información:

• https://{BLOCKED}.{BLOCKED}.37.3/services/nl-nl/power-bi-embedded/wt_mc_id/azuremktg_hp_powerbiembedded
• https://{BLOCKED}.{BLOCKED}.37.3/store/mseea/nl_NL/cat/Accessoires/categoryID_66233400?p={params}
  where {params} is encoded string of the following data:
  • m={mac_address}&n={hostname}&t={sleeptime}&r={random}

A fecha de redacción de este documento no es posible acceder a los servidores mencionados.

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• https://{BLOCKED}.{BLOCKED}.37.3/store/mseea/nl_NL/cat/Back-to-School/categoryID_68073200

Otros detalles

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %User Temp%\~DF{random}.tmp ← downloaded files; log files; deleted afterwards

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).