WORM_DORKBOT.XXPX

Este malware infiltra copias de sí mismo en todas las unidades. Estas copias infiltradas utilizan los nombres de las carpetas ubicadas en las mencionadas unidades para sus nombres de archivo. Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Este malware modifica la configuración de zona de Internet Explorer.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{random value}.exe
• %Application Data%\Identities\{random characters}.exe
• %COMMONPROGRAMFILES%\{random folder name}\{random characters}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%Application Data%\Identities\{random characters}.exe"

Propagación

Crea las carpetas siguientes en todas las unidades extraíbles:

• {drive letter}:\RECYCLER

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {drive letter}:\RECYCLER\{random characters}.exe

Este malware infiltra copias de sí mismo en todas las unidades. Estas copias infiltradas utilizan los nombres de las carpetas ubicadas en las mencionadas unidades para sus nombres de archivo.

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Envía mensajes que contienen enlaces a sitios con copias remotas de sí mismo mediante las siguientes aplicaciones de mensajería instantánea:

• MSN Messenger
• Pidgin
• Xchat
• MIRC
• Skype
• Windows Live Communication

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Update itself
• Download other files
• Perfrom Slowloris, UDP, and SYN flooding
• Send MSN Messenger messages
• Insert iframe tags into HTML files
• Visit a Web page
• Create processes
• Block DNS
• Redirect domains
• Steal login credentials
• Log in to FTP sites

Capacidades de rootkit

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Finalización del proceso

Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• Windows Defender
• MpClient.dll
• %ProgramW6432%
• %ProgramFiles%
• Windows Defender\MSASCui.exe
• msseces.exe
• MsMpEng.exe
• MSASCui.exe
• MpAsDesc.dll
• MsMpLics.dll
• avgidsagent.exe
• avgwdsvc.exe
• avgdiagex.exe
• avgmfapx.exe
• avgupd.exe
• avgcfgex.exe
• avguard.exe
• avshadow.exe
• avcenter.exe
• update.dll
• updaterc.dll
• usrreq.exe
• K*a*s*p*e*r*y*\*
• ccsvchst.exe
• symerr.exe
• navw32.exe
• avastui.exe
• avast! Antivirus
• AvastEmUpdate.exe
• ashUpd.exe
• zatray.exe
• ForceField.exe
• updating.dll
• fshoster32.exe
• PSUNMain.exe
• PSUAService.exe
• PSANHost.exe
• PSUNScan.dll
• SOFTWARE\Panda Software
• pavjobs.exe
• AVENGINE.exe
• Upgrader.exe
• Ad-Aware Service
• adaware.exe
• BullGuard.exe.manifest
• BullGuardUpdate.exe
• BullGuard.exe
• BullGuardScanner.exe
• BullGuardBhvScanner.exe
• BullGuardUpdate2.exe
• BgScan.exe
• BgScanEngine.dll
• updater.exe
• Backup\RSD\RSSetup\updater.exe
• RsTray.exe
• RavMonD.exe
• RsMgrSvc.exe
• rsmain.exe
• installpath
• SOFTWARE\rising\RAV
• RsScan.dll
• RsTray.dll
• mbamgui.exe
• pctsGui.exe
• pctsAuxs.exe
• pctsSvc.exe
• Update.exe
• UpdateHlpr.dll
• Definitions\vcore.dll
• sbamui.exe
• SBAMTray.exe
• F-PROT Antivirus Tray application
• updater_client_mod.dll
• FProtTray.exe
• Sophos AutoUpdate Monitor
• SOFTWARE\Sophos\AutoUpdate
• ALUpdate.exe
• SOFTWARE\ArcaBit
• update_tmp.exe
• arcaclean.exe
• Baidu Antivirus
• BavUpdater.exe
• DragonUpdater
• SYSTEM\CurrentControlSet\Services\DragonUpdater
• CLPSLA.exe
• OutpostMonitor
• op_mon.exe
• SOFTWARE\Norman Data Defense Systems
• K7TSUpdT.exe
• SOFTWARE\Ikarus
• guardxup.exe
• ccupdate.exe
• caupdate.dll
• emsisoft anti-malware
• a2guard.exe
• a2start.exe
• a2service.exe
• AVKTray.exe
• GDFirewallTray.exe
• G Data AntiVirus Tray Application
• G Data AntiVirus Tray
• BLuPro.exe
• BkavSystemServer.exe
• BkavService.exe
• LiveUpdate.dll
• LiveConnect.dll
• BaseFile\Bkav\LiveUpdate.dll
• V3 Application
• V3Lite.exe
• ASDSvc.exe
• autoup.exe
• downloader.exe
• updatesrv.exe
• updatemgr.dll
• x86\ekrn.exe
• Trend Micro Titanium
• uWinMgr.exe
• coreServiceShell.exe
• uiSeAgnt.exe
• uiWatchDog.exe
• Trend Micro\UniClient\
• plugins\plugUpdater.dll
• UiFrmwrk\uiUpdateTray.exe
• Trend Micro Client Framework
• InstallDir
• SOFTWARE\TrendMicro\AMSP
• coreFrameworkHost.exe
• mcagent.exe
• McSvHost.exe
• McUICnt.exe
• McPvTray.exe
• SOFTWARE\McAfee\MSC
• mcpltui_exe
• Install Dir
• Install Dir32
• mcshell.exe
• mcupdmgr.exe
• mcupdate.exe
• mcshield.exe
• mcupdui.dll
• McAPExe.exe
• system_core_version
• SOFTWARE\McAfee\SystemCore
• VisthAux.exe
• Software\Valve\Steam
• Software\Microsoft\Terminal Server Client\Default
• explorer.exe
• SOFTWARE\Classes\origin
• jagexcache
• SOFTWARE\Blizzard Entertainment
• .minecraft
• League of Legends
• Software\Skype
• Software\Microsoft\VisualStudio
• Software\VMware, Inc.
• Navw32.exe
• SysInspector.exe
• avscan.exe
• szInstallDir32
• SOFTWARE\McAfee\SystemCore
• mfefire.exe
• wuauclt.exe
• WerFault.exe

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

Rutina de descarga

Este malware descarga una copia actualizada de sí mismo desde el/los siguiente(s) sitio(s) Web:

• http://{BLOCKED}1.11.83.7/nut40a298.exe
• http://{BLOCKED}1.11.83.7/and40a298.exe
• http://{BLOCKED}1.11.83.7/ng40a298.exe