BKDR_SATHUR.A

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s):

• {Malware Path}\SecurityHelper.dll {detected as BKDR_SATHUR.A}

Se introduce en los siguientes procesos que se ejecutan en la memoria del sistema afectado:

• explorer.exe
• rundll32.exe
• regsvr32.exe

Crea las carpetas siguientes:

• {Malware Path}\temp
• {Malware Path}\SecurityCache\
• {Malware Path}\SecurityCache\cache
• {Malware Path}\SecurityCache\data

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\{982C49E7-2232-4B26-B379-309AFAB28096}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{3B5B973C-92A4-4855-9D3F-0F3D23332208}\InprocServer

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
ShellIconOverlayIdentifiers\0PerformanceMonitor

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{3B5B973C-92A4-4855-9D3F-0F3D23332208}
(Default) = "Windows Performance Monitor"

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{3B5B973C-92A4-4855-9D3F-0F3D23332208}\InprocServer32
(Default) = "%All Users Profile%\Application Data\Application Data\Microsoft\Performance\Monitor\PerformanceMonitor.dll"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
ShellIconOverlayIdentifiers\0PerformanceMonitor
(Default) = "{3B5B973C-92A4-4855-9D3F-0F3D23332208}"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Get system information
• Update the copy of the trojan
• Run arbitrary files

Otros detalles

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.