JS_BONDAT.F

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %User Profile%\{random folder name}\{random string}.js
• %Application Data%\{random folder name}\{random string}.js

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

)

Este malware infiltra el/los siguiente(s) archivo(s):

• {removable drive}\{user file or folder name}.lnk - detected as LNK_BONDAT.SM.

  These are shortcut files pointing to the malware's dropped copy in removable drive

Este malware infiltra el siguiente archivo no malicioso:

• %User Profile%\{random folder name}\{string 1}{string 2}{32, 64 or blank}.exe such as intelmon32.exe - copy of the legitimate wscript.exe that is used to execute JS_BONDAT.F
  where {string 1} can be any of the following:
  • win
  • cmd
  • disk
  • dsk
  • ms
  • hp
  • intel
  • amd
  • dll
  • tcp
  • udp
  where {string 2} can be any of the following:
  • process
  • proc
  • monitor
  • mon
  • sys
  • host
  • mgr
  • update
  • updater

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Crea las carpetas siguientes:

• %User Profile%\{random folder name}
• %Application Data%\{random folder name}

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

. %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

)

Técnica de inicio automático

Infiltra el siguiente acceso directo dirigido a su copia en la carpeta de inicio del usuario para que se ejecute automáticamente cada vez que arranque el sistema:

• Windows Explorer.lnk - detected as LNK_BONDAT.SM0

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

Propagación

Crea las carpetas siguientes en todas las unidades extraíbles:

• {removable drive}\.Trashes
• {removable drive}\.Trashes\{random number}

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {removable drive}\.Trashes\{random number}\{random string}.js

Robo de información

Recopila los siguientes datos:

• user name
• computer name
• OS Version
• Language
• content of the registry HKLM\Software\Microsoft\Windows NT CurrentVersion\ProductID

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://www2.{BLOCKED}connect.com
• http://{BLOCKED}.{BLOCKED}.3.136
• http://static.{BLOCKED}kweb.net