PE_SALITY.EK

Desactiva el Administrador de tareas, el Editor del Registro y las opciones de carpeta.

Este malware no tiene ninguna rutina de puerta trasera.

Este malware modifica la configuración de zona de Internet Explorer.

Este malware no tiene ninguna capacidad para robar información.

Instalación

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Op1mutx9
• |{malware name}.exeM_{random number}_

Técnica de inicio automático

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = "Explorer.exe {malware}.exe"

(Note: The default value data of the said registry entry is Explorer.exe.)

Otras modificaciones del sistema

Este malware agrega la(s) siguiente(s) línea(s)/entrada(s) al archivo SYSTEM.INI:

• [MCIDRV_VER]
• DEVICEMB={random numbers}

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{user_name}914

Crea la(s) siguiente(s) entrada(s) de registro para desactivar el Administrador de tareas, las herramientas de registro y las opciones de carpeta:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NofolderOptions = "1"

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path}\{malware name}.exe = "{malware path}\{malware name}.exe:*:Enabled:ipsec"

Elimina las siguientes claves de registro:

HKEY_CURRENT_USER\System\CurrentControlSet\
Control\SafeBoot

Infección de archivo

Infecta los siguientes tipos de archivo:

• EXE
• SCR

Ésta es la detección de Trend Micro de archivos infectados por:

• PE_SALITY.EK-O

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• aswUpdSv
• avast! Antivirus
• avast! Mail Scanner
• avast! Web Scanner
• BackWeb Plug-in - 4476822
• BGLiveSvc
• BlackICE
• CAISafe
• ccEvtMgr
• ccProxy
• ccSetMgr
• F-Prot Antivirus Update Monitor
• fsbwsys
• FSDFWD
• F-Secure Gatekeeper Handler Starter
• fshttps
• InoRPC
• InoRT
• InoTask
• ISSVC
• LavasoftFirewall
• LIVESRV
• McAfeeFramework
• McShield
• McTaskManager
• navapsvc
• NOD32krn
• NPFMntor
• NSCService
• Outpost Firewall main module
• OutpostFirewall
• PAVFIRES
• PAVFNSVR
• PavProt
• PavPrSrv
• PAVSRV
• PcCtlCom
• PersonalFirewal
• PREVSRV
• ProtoPort Firewall service
• PSIMSVC
• RapApp
• SmcService
• SNDSrvc
• SPBBCSvc
• Symantec Core LC
• Tmntsrv
• TmPfw
• tmproxy
• UmxAgent
• UmxCfg
• UmxLU
• UmxPol
• vsmon
• VSSERV
• WebrootDesktopFirewallDataService
• WebrootFirewall
• XCOMM

Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• ALERTSVC
• ALMON.
• ALOGSERV
• ALSVC.
• AMON.
• ANTI-TROJAN.
• ANTIVIR
• ANTS.
• APVXDWIN.
• ARMOR2NET.
• ASHAVAST.
• ASHDISP.
• ASHENHCD.
• ASHMAISV.
• ASHPOPWZ.
• ASHSERV.
• ASHSIMPL.
• ASHSKPCK.
• ASHWEBSV.
• ASWUPDSV.
• ATCON.
• ATUPDATER.
• ATWATCH.
• AUPDATE.
• AUTODOWN.
• AUTOTRACE.
• AUTOUPDATE.
• AVCIMAN.
• AVCONSOL.
• AVENGINE.
• AVGAMSVR.
• AVGCC.
• AVGCC32.
• AVGCTRL.
• AVGEMC.
• AVGFWSRV.
• AVGNT.
• AVGNTDD
• AVGNTMGR
• AVGSERV.
• AVGUARD.
• AVGUPSVC.
• AVINITNT.
• AVKSERV.
• AVKSERVICE.
• AVKWCTL.
• AVP32.
• AVPCC.
• AVPM.
• AVAST
• AVSCHED32.
• AVSYNMGR.
• AVWUPD32.
• AVWUPSRV.
• AVXMONITOR9X.
• AVXMONITORNT.
• AVXQUAR.
• BACKWEB-4476822.
• BDMCON.
• _AVPM.
• A2GUARD.
• AAVSHIELD.
• AVAST
• ADVCHK.
• AHNSD.
• AIRDEFENSE
• CMGRDIAN.
• CUREIT
• DEFWATCH.
• DOORS.
• DRVIRUS.
• DRWADINS.
• DRWEB32W.
• DRWEBSCD.
• DRWEBUPW.
• ESCANH95.
• ESCANHNT.
• EWIDOCTRL.
• EZANTIVIRUSREGISTRATIONCHECK.
• F-AGNT95.
• FAMEH32.
• FAST.
• FCH32.
• FILEMON
• FIRESVC.
• FIRETRAY.
• FIREWALL.
• FPAVUPDM.
• F-PROT95.
• FRESHCLAM.
• FSAV32.
• FSAVGUI.
• FSBWSYS.
• F-SCHED.
• FSDFWD.
• FSGK32.
• FSGK32ST.
• FSGUIEXE.
• FSM32.
• FSMA32.
• FSMB32.
• FSPEX.
• FSSM32.
• F-STOPW.
• GCASDTSERV.
• GCASSERV.
• GIANTANTISPYWAREMAIN.
• GIANTANTISPYWAREUPDATER.
• GUARDGUI.
• GUARDNT.
• HREGMON.
• HRRES.
• HSOCKPE.
• HUPDATE.
• IAMAPP.
• IAMSERV.
• ICLOAD95.
• ICLOADNT.
• ICMON.
• ICSSUPPNT.
• ICSUPP95.
• ICSUPPNT.
• IFACE.
• INETUPD.
• INOCIT.
• INORPC.
• INORT.
• INOTASK.
• INOUPTNG.
• IOMON98.
• ISAFE.
• ISATRAY.
• ISRV95.
• ISSVC.
• KAVMM.
• KAVPF.
• KAVPFW.
• KAVSTART.
• KAVSVC.
• KAVSVCUI.
• KMAILMON.
• KPFWSVC.
• KWATCH.
• LOCKDOWN2000.
• LOGWATNT.
• LUALL.
• LUCOMSERVER.
• LUUPDATE.
• MCAGENT.
• MCMNHDLR.
• MCREGWIZ.
• MCUPDATE.
• MCVSSHLD.
• MINILOG.
• MYAGTSVC.
• MYAGTTRY.
• NAVAPSVC.
• NAVAPW32.
• NAVLU32.
• NAVW32.
• NOD32.
• NEOWATCHLOG.
• NEOWATCHTRAY.
• NISSERV
• NISUM.
• NMAIN.
• NOD32
• NORMIST.
• NOTSTART.
• NPAVTRAY.
• NPFMNTOR.
• NPFMSG.
• NPROTECT.
• NSCHED32.
• NSMDTR.
• NSSSERV.
• NSSTRAY.
• NTRTSCAN.
• NTXCONFIG.
• NUPGRADE.
• NVC95.
• NVCOD.
• NVCTE.
• NVCUT.
• NWSERVICE.
• OFCPFWSVC.
• OUTPOST.
• PAVFIRES.
• PAVFNSVR.
• PAVKRE.
• PAVPROT.
• PAVPROXY.
• PAVPRSRV.
• PAVSRV51.
• PAVSS.
• PCCGUIDE.
• PCCIOMON.
• PCCNTMON.
• PCCPFW.
• PCCTLCOM.
• PCTAV.
• PERSFW.
• PERTSK.
• PERVAC.
• PNMSRV.
• POP3TRAP.
• POPROXY.
• PREVSRV.
• PSIMSVC.
• QHM32.
• QHONLINE.
• QHONSVC.
• QHPF.
• QHWSCSVC.
• RAVMON.
• RAVTIMER.
• REALMON.
• REALMON95.
• RFWMAIN.
• RTVSCAN.
• RTVSCN95.
• RULAUNCH.
• SAVADMINSERVICE.
• SAVMAIN.
• SAVPROGRESS.
• SAVSCAN.
• SCAN32.
• SCANNINGPROCESS.
• CUREIT.
• SDHELP.
• SHSTAT.
• SITECLI.
• SPBBCSVC.
• SPHINX.
• SPIDERML.
• SPIDERNT.
• SPIDERUI.
• SPYBOTSD.
• SPYXX.
• SS3EDIT.
• STOPSIGNAV.
• SWAGENT.
• SWDOCTOR.
• SWNETSUP.
• SYMLCSVC.
• SYMPROXYSVC.
• SYMSPORT.
• SYMWSC.
• SYNMGR.
• TAUMON.
• TBMON.
• AVAST
• TDS-3.
• TEATIMER.
• TFAK.
• THAV.
• THSM.
• TMAS.
• TMLISTEN.
• TMNTSRV.
• TMPFW.
• TMPROXY.
• TNBUTIL.
• TRJSCAN.
• UP2DATE.
• VBA32ECM.
• VBA32IFS.
• VBA32LDR.
• VBA32PP3.
• VBSNTW.
• VCHK.
• VCRMON.
• VETTRAY.
• VIRUSKEEPER.
• VPTRAY.
• VRFWSVC.
• VRMONNT.
• VRMONSVC.
• VRRW32.
• VSECOMR.
• VSHWIN32.
• VSMON.
• VSSERV.
• VSSTAT.
• WATCHDOG.
• WEBPROXY.
• WEBSCANX.
• WEBTRAP.
• WGFE95.
• WINAW32.
• WINROUTE.
• WINSS.
• WINSSNOTIFY.
• WRADMIN.
• WRCTRL.
• XCOMMSVR.
• ZATUTOR.
• ZAUINST.
• ZLCLIENT.
• ZONEALARM.
• BDNEWS.
• BDOESRV.
• BDSS.
• BDSUBMIT.
• BDSWITCH.
• BLACKD.
• BLACKICE.
• CAFIX.
• CCAPP.
• CCEVTMGR.
• CCPROXY.
• CCSETMGR.
• CFIAUDIT.
• CLAMTRAY.
• CLAMWIN.
• CLAW95.
• CLAW95CF.
• CLEANER.
• CLEANER3.
• CLISVC.

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

Rutina de descarga

Accede a los siguientes sitios Web para descargar archivos:

• http://{BLOCKED}re.net.cn/logos.gif?{random}={random}
• http://{BLOCKED}7638dfqwieuoi.info/?{random}={random}
• http://{BLOCKED}ustnet777.info/?{random}={random}
• http://{BLOCKED}ustnet777.info/home.gif?{random}={random}
• http://{BLOCKED}ustnet888.info/home.gif?{random}={random}
• http://{BLOCKED}ustnet987.info/home.gif?{random}={random}
• http://{BLOCKED}ru/logos.gif?{random}={random}
• http://{BLOCKED}nia.my1.ru/mainh.gif?{random}={random}
• http://{BLOCKED}w8w.pl/mainh.gif?{random}={random}
• http://{BLOCKED}oy.h17.ru/mainf.gif?{random}={random}
• http://www.{BLOCKED}fqwieluoi.info/?{random}={random}
• http://www.{BLOCKED}org/mainf.gif?{random}={random}

Robo de información

Este malware no tiene ninguna capacidad para robar información.