TSPY_BEBLOH.JLT

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{random string}.exe
  (Note: Creation of this copy is triggered when the affected system is shutting down)

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• explorer.exe

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Uz{Random Hex}

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• created explorer.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random string} = "%Application Data%\{random string}.lnk"
(Note: Creation of this registry entry is triggered when the affected system is shutting down)

Infiltra los archivos siguientes:

• "%Application Data%\{random string}.lnk" → points to the copy
  (Note: Creation of this file is triggered when the affected system is shutting down, appends parameter "-autorun" to executed copy)

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{random key}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\{random key}
(Default) = {hex values}

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• https://{BLOCKED}iret.com/auth/?tver={value}&vcmd={value}&cc={value}&hh={hex values}&ipcnf={IP address}+&sckport={value}&pros={value}&keret={value};&email={value}

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• https://{BLOCKED}iret.com/auth/
• {Random Generated Domain}.com
• {Random Generated Domain}.net