TROJ_BANLOAD.CYB

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam. Puede haberlo infiltrado otro malware. Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Contiene errores en su código. Esto evita que realice sus rutinas.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Puede haberlo infiltrado otro malware.

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Infiltra los archivos siguientes:

• %Windows%\system\{malware name}.EXE - copy of itself
• %Windows%\infosapi.dll - non malicious
• %Windows%\UMANDA.reg - registry file when executed creates autostart registry entry for the malware
• %System%\wbem\acpi.vxd - non malicious

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SharedAPPs = {malware path and file name}

Rutina de descarga

Accede a los siguientes sitios Web para descargar archivos:

• http://{BLOCKED}chomes.in/images/images.rar
• http://{BLOCKED}olhado.com.br/js/images.rar
• http://{BLOCKED}l-levata.com/js/images.rar
• http://{BLOCKED}.com/js/images.rar
• http://{BLOCKED}x-arq.com/js/images.rar
• http://{BLOCKED}igoseamigos2010.kit.net/images.rar
• http://{BLOCKED}lacionandoamigos.kit.net/images.rar
• http://{BLOCKED}lpemacla.kit.net/images.rar
• http://{BLOCKED}nanet2006.kit.net/images.rar
• http://{BLOCKED}usamonteloavalanche.kit.net/images.rar
• http://{BLOCKED}igossysters.kit.net/images.rar
• http://{BLOCKED}perbonus.kit.net/images.rar
• http://{BLOCKED}amigos2010.kit.net/images.r

Guarda los archivos que descarga con los nombres siguientes:

• %System%\{random name} - encrypted file

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• It then saves the data to the following file: %System%\{random1}
• It then creates the following file which will contain the decrypted data:
• %System%\{random2}
• {random2} file contains 3 binaries which are then saved as the following:
• %System%\wbem\Thumbs\guardian_jp.exe - detected as TROJ_BANKER.PBX
• %System%\wbem\Thumbs\reenvio.exe - detected as TSPY_VERWELI.E
• %System%\wbem\Thumbs\bho.dll - detected as TSPY_BANKER.RMZ
• It then moves the files to the following directory:
• %System%\wbem\Thumbs\guardian_jp.exe to %System%\netsvcs32.exe
• %System%\wbem\Thumbs\reenvio.exe to %System%\NetLogom.exe
• %System%\wbem\Thumbs\bho.dll to %System%\wbem\essclis.dll
• This malware then executes these files.
• It then deletes the 2 files with random file names.

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Contiene errores en su código. Esto evita que realice sus rutinas.