BKDR_LUMINOSITY.R

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %ProgramData%\javas\javaup.exe

Infiltra los archivos siguientes:

• %Application Data%\javaupd\Guard\1
• %Application Data%\javaupd\Logs\{MM-DD-YYYY} - (contains stolen information)
• %Application Data%\javaupd\Guard\PWD

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• ntvdm.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
javauds = "%ProgamData%\javas\javaup.exe" -a /a

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
javauds = "%ProgamData%\javas\javaup.exe" -a /a

Otras modificaciones del sistema

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software
1slyGAcSUwLIMg2sAIS1ug== = {Random Values}

HKEY_CURRENT_USER\Software
r9FV00+0RHDCtPSmW7QR1Q== = {Random Values}

HKEY_CURRENT_USER\Software
apjKTISCHYvaf8qpkvs9yw== = {Random Values}

HKEY_CURRENT_USER\Software
ULY/YVw29Mp0AP6LqMisga== = {Random Values}

HKEY_CURRENT_USER\Software
YaGyz8yjWIYZ9mr9WgwISAzOWQtmiFYI2YVhsEVv+ok= = {Random Values}

HKEY_CURRENT_USER\Software
adZj2oq3ZnZFOvnVojsVwg== = {Random Values}

HKEY_CURRENT_USER\Software
T2HXIFoEvthIVZUoNDoP4A== = {Random Values}

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Downloads and executes arbitrary files
• Downloads and executes custom Crypto Miner
• Downloads custom password recovery tool
• Searches for files
• Performs DDOS
• Modifies HOSTS file to redirect hosts/URLs
• Visits arbitrary websites (browser can be hidden and have muted audio)
• Seeds torrent
• Updates itself
• Updates backup C&C
• Remotes Desktop Control
• Remotes shell
• Remotes Script
• Records audio using system's microphone
• Controls Webcam
• Uninstalls itself
• Executes/Terminates/Disables Task Manager
• Executes/Terminates/Disables Command Prompt
• Executes/Terminates/Disables Registry Editor
• Hides/Shows Taskbar
• Hides/Shows Desktop
• Opens/Closes CD-ROM door
• Turns on/off user's monitor
• Enables/Disables Keyboard
• Enables/Disables Mouse
• Swaps/Resets Mouse
• Deletes Restore points
• Enables/Disables input
• Logs off User
• Hibernates
• Shutdowns system
• Reboots System
• Performs network speed test
• Manage Files
• Manage Processes
• Gathers the following information:
  
  • Client Overview:
  • Client ID used
  • Country
  • Software Information:
  • User Privilege
  • Machine Name
  • Hardware Information:
  • Machine Type
  • CPU Information
  • GPU Information
  • RAM Information
  • Battery
  • Monitor Count
  • Network Information:
  • WAN address
  • Download Speed
  • LAN Address
  • MAC Address
  • Others:
  • Security information
  • Uptime
  • Active Windows
  • Current malware file location
  • Full OS version
  • Keystroke logs
  • Stored passwords

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}soreria46.no-ip.info
• {BLOCKED}8-167-149.{BLOCKED}crev.cantv.net:9000

Rutina de descarga

Accede a los siguientes sitios Web para descargar archivos:

• http://{BLOCKED}o.st/download/(random values)/(random values).exe

Guarda los archivos que descarga con los nombres siguientes:

• %Application Data%\javaupd\Guard\word2015.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).