PE_RAMNIT.HL-O

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Se conecta a un sitio Web para enviar y recibir información.

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Temp%\myactvgmnkbmhtdx.exe
• %User Startup%\uqchowhg.exe
• %Application Data%\mnkuetxp\uqchowhg.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Agrega los procesos siguientes:

• svchost.exe

Crea las carpetas siguientes:

• %Application Data%\mnkuetxp

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
UqcHowhg = %Application Data%\mnkuetxp\uqchowhg.exe

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe,,%Application Data%\mnkuetxp\uqchowhg.exe

(Note: The default value data of the said registry entry is %System%\userinit.exe,.)

Otras modificaciones del sistema

Elimina las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot

Infección de archivo

Infecta los siguientes tipos de archivo:

• EXE
• DLL

Rutina de puerta trasera

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}money2.com

Capacidades de rootkit

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Información sustraída

Este malware guarda la información robada en el archivo siguiente:

• %Application Data%\{random1}.log - contains encrypted, stolen data
• %Application Data%\{random2}.log - archive file that contains stolen cookies

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).