PE_EXPIRO.ZZ

Este malware infecta archivos sobrescribiendo el código del punto de entrada y guardándolo en el cuerpo del virus. A continuación anexa el cuerpo del virus al archivo host. Este malware crea un marcador de la infección en los archivos infectados.

Se conecta a un sitio Web para enviar y recibir información.

Este malware modifica la configuración de zona de Internet Explorer.

Roba determinada información del sistema y/o del usuario.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Application Data%\{Volume serial of system folder}{number}.nls - non-malicious

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• kkq-vx-mtx{number}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\0
2103 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
2103 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\2
2103 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2103 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
2103 = "0"

Infección de archivo

Infecta los siguientes tipos de archivo:

• .EXE

Este malware infecta archivos sobrescribiendo el código del punto de entrada y guardándolo en el cuerpo del virus. A continuación anexa el cuerpo del virus al archivo host.

Este malware crea un marcador de la infección en los archivos infectados.

Propagación

Este malware infecta archivos del/de los siguiente(s) tipo(s) de las redes compartidas, asegurando su propagación a lo largo de la red:

• .EXE

Rutina de puerta trasera

Abre los puertos siguientes:

• TCP Port 11084
• TCP Port 8181

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://{BLOCKED}ational-ventur.ru
• http://{BLOCKED}e.2288.org
• http://{BLOCKED}s-locmoczu.ws

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

Robo de información

Roba la siguiente información:

• Windows Product ID
• Drive Volume Serial Number
• OS Version
• User credentials
• Information from Filezilla