TSPY_POSLOGR.A

Para obtener una visión integral del comportamiento de este Spyware, consulte el diagrama de amenazas que se muestra a continuación.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Registra las pulsaciones de teclas de un usuario para robar información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\OracleJava\javaw.exe
• %Application Data%\winserv.exe - deleted afterwards

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\OracleJava

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• nUndsa8301nskal
• nuyhnJmkuTgD

Este malware permanece como residente en memoria mediante la creación de subprocesos remotos:

• explorer.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows NT Service = "%Application Data%\OracleJava\javaw.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion
identifier = "{random characters as ID}" such as "EdPjBTx"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download updated copy
• Terminate itself
• Uninstall itself
• Download and execute arbitrary files
• Upload log files

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://{BLOCKED}workx86.ru/windows/updcheck.php
• http://{BLOCKED}workx86.com/windows/updcheck.php
• http://{BLOCKED}workx64.com/windows/updcheck.php

Robo de información

Recopila los siguientes datos:

• User name
• Computer name
• Malware version name (e.g. goo)
• Malware built version

Registra las pulsaciones de teclas de un usuario para robar información.

Información sustraída

Este malware guarda la información robada en el archivo siguiente:

• %Application Data%\OracleJava\Log.txt - contains logged active window, installations, keystrokes and mouse activities with corresponding date and time

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Otros detalles

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Application Data%\OracleJava\Local.dat - temporarily stores all found track data
• %Application Data%\nsskrnl - encrypted copy of the malware

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).