BKDR_IRCBOT.AYN

Puede haberlo infiltrado otro malware.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. However, as of this writing, the said sites are inaccessible.

Detalles de entrada

Puede haberlo infiltrado otro malware.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s):

• %System%\{random name}.dll - also detected as BKDR_IRCBOT.AYN
• {malware path}\RunCmd.log - log file
• {malware path}\Temp\114719_507_AhnlabUpdatekit\AhnlabUpdate.exe - also detected as BKDR_IRCBOT.AYN
• {malware path}\Temp\114719_507_AhnlabUpdatekit\RunCmd.exe - also detected as BKDR_IRCBOT.AYN
• {malware path}\Temp\114719_507_AhnlabUpdatekit\RunCmd.ini - configuration file

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Crea las carpetas siguientes:

• {malware path}\Temp
• {malware path}\Temp\114719_507_AhnlabUpdatekit

Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

• explorer.exe
• svchost.exe

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
DisplayName = "{random service name}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}
Type = "20"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}\Parameters
ServiceDll = "%System%\{random name}.dll"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}\Parameters
ServiceMain = "ServiceMain"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\Msxml2.DOMDocument.3.7

HKEY_CLASSES_ROOT\Msxml2.DOMDocument.3.7\CLSID

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Sign

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}\Enum

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}\Parameters

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random service name}\Security

Agrega las siguientes entradas de registro:

HKEY_CLASSES_ROOT\Msxml2.DOMDocument.3.7\CLSID
(Default) = "{88d96a05-f192-11d4-a65f-0040963251e5}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Sign
KeyCode = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Sign
Policy = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Microsoft Sign
SignCode = "{random values}"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SvcHost
netsvcs = "{default values} {random service name}"

(Note: The default value data of the said registry entry is {default values}.)

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Get operating system information
• Get drive information
• Get computer name
• Get user name
• Join an IRC channel to get commands
• Enumerate files and folders
• Create files and folders
• Download files
• Perform remote shell
• Sleep for a specified amount of time
• Restart system
• Terminate self
• Update self

However, as of this writing, the said sites are inaccessible.