BKDR_ALINA.SM

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\Install\winfax12.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\Install

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
winfax12 = %Application Data%\Install\winfax12.exe

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %Application Data%/kos.exe
• %Application Data%/kos1.exe
• %Application Data%/kos2.exe
• %Application Data%/kos3.exe
• %Application Data%/kos4.exe
• %Application Data%/kos5.exe
• %Application Data%/kos6.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Updating the Malware
• Updating the Card Interval
• Stealing the Card Information
• Logging

Publica la siguiente información en su servidor de mando y control (C&C):

• Card Exfiltration Interval
• Malware Update Interval
• Logs
• URL of Malware for updating
• URL of other malware to be downloaded and executed

A fecha de redacción de este documento no es posible acceder a los servidores mencionados.

Robo de información

Recopila los siguientes datos:

• Public IP Address
• Computer Name
• Passwords from the VNC Clients:
  • RealVNC
  • TightVNC
  • TigerVNC
  • UltraVNC
• Credit Card Numbers