BKDR_DARKOMET.P

Este malware no tiene ninguna rutina de propagación.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Registra las pulsaciones de teclas de un usuario para robar información.

Instalación

Infiltra los archivos siguientes:

• %User Temp%\IXP000.TMP\TMP4351$.TMP - deleted afterwards
• %AppDataLocal%\CSIDL_X - deleted afterwards
• %AppDataLocal%\CSIDL_
• %User Temp%\IXP000.TMP\M.ex_ - deleted afterwards
• %User Temp%\tmp05\tmpfile.ex_- deleted afterwards

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\IXP000.TMP\M.exe -> detected as BKDR_DARKOMET.P
• %User Temp%\tmp05\tmpfile.exe ->copy of M.exe, detected as BKDR_DARKOMET.P

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Crea las carpetas siguientes:

• %User Temp%\IXP000.TMP
• %User Temp%\tmp05
• %Application Data%\dclogs

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• DC_MUTEX-DXE2AAX

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
UserInit = "%System%\userinit.exe,%User Temp%\tmp05\tmpfile.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
tempfiler = "%User Temp%\tmp05\tmpfile.exe"

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\system.pif -> copy of M.exe, detected as BKDR_DARKOMET.P

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
M

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
tmpfile

HKEY_CURRENT_USER\Software\DC3_FEXEC

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
wextract_cleanup0 = "rundll32.exe %System%\advpack.dll,DelNodeRunDLL32 "%User Temp%\IXP000.TMP\""

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• List disk drives
• List webcams and monitor/capture video
• Change MSN Messenger status & modify contact list
• Shutdown, Restart, Log off or Lock computer
• Empty Recycle Bin
• Visit arbitrary C&C servers
• List active windows
• Remote shell command
• Download and execute files
• Download updated copy of itself
• Upload files
• Log keystrokes
• Refresh or delete logs
• Modify system's host file
• Record and play sounds
• Open and close CD-ROM drive door
• Steal passwords
• Get torrent files
• Refresh Wifi
• Uninstall programs
• Start and control chat sessions
• Monitor activity by Remote Desktop Protocol
• DDOS Flooding
• Manipulate the following:
  • Browser
  • Clipboard
  • Desktop
  • Dialog Box
  • Files
  • Folders
  • Mouse clicks
  • Processes
  • Registries
  • Services
  • Shutdown button options
  • Start button
  • System clock
  • System tray
  • Taskbar
• Lessen system security level by:
  • Disabling update notification
  • Disabling AV notification
  • Disabling firewall
  • Disabling services
  • Disabling LUA notification
• Disable RegistryTools
• Disable TaskMgr
• Disable Control Panel

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}4ck.no-ip.biz:1122

Rutina de infiltración

Este malware infiltra el/los siguiente(s) archivo(s), en el cual/los cuales guarda la información recopilada:

• %Application Data%\dclogs\{current date}-{number}.dc

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Robo de información

Recopila los siguientes datos:

• Admin rights
• Computer/User name
• Language/Country
• Operating System information
• RAM used
• Web Cam information

Registra las pulsaciones de teclas de un usuario para robar información.