TROJ_DLOADER.BCT

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %System%\BLPHC7TPJ0E72C.SCR
• %System%\lphc7tpj0e72c.exe
• %System%\PHC7TPJ0E72C.BMP
• %User Temp%\.TT3A.TMP.VBS

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

)

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• {A56DECD8-1102-49e9-BFD5-17FBE35197F2}
• CLqhc5tpj0e72c
• COMINIT_INITIALING

Este malware permanece como residente en memoria mediante la creación del/de los siguiente(s) proceso(s):

• %System%\WScript.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Técnica de inicio automático

Crea las siguientes entradas de registro para activar la ejecución automática del componente infiltrado cada vez que arranque el sistema:

HKEY_CURRENT_USER\Control Panel\Desktop
ConvertedWallpaper = "%System%\phc7tpj0e72c.bmp"

HKEY_CURRENT_USER\Control Panel\Desktop
OriginalWallpaper = "%System%\phc7tpj0e72c.bmp"

HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\
Windows\CURRENTVERSION\Policies\
SYSTEM
NoDispBackgroundPage = "1"

HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\
Windows\CURRENTVERSION\Policies\
SYSTEM
NoDispScrSavPage = "1"

HKEY_CURRENT_USER\SOFTWARE\Sysinternals\
Bluescreen Screen Saver
EulaAccepted = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\
Software Notifier
InstallID = "{malware name}"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
lphc7tpj0e72c = "%System%\lphc7tpj0e72c.exe"

Otras modificaciones del sistema

Este malware modifica la(s) siguiente(s) entrada(s)/clave(s) de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Control Panel\Colors
Background = "0 0 255"

(Note: The default value data of the said registry entry is 58 110 165.)

HKEY_CURRENT_USER\Control Panel\Desktop
SCRNSAVE.EXE = "%System%\blphc7tpj0e72c.scr"

(Note: The default value data of the said registry entry is (NONE).)

HKEY_CURRENT_USER\Control Panel\Desktop
Wallpaper = "%System%\phc7tpj0e72c.bmp"

(Note: The default value data of the said registry entry is blank.)

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\
Windows\CURRENTVERSION\Internet Settings\
Cache\Paths
Directory = "%Temporary Internet Files%\Content.IE5"

(Note: The default value data of the said registry entry is C:\Documents and Settings\{user name}\Local Settings\Temporary Internet Files\Content.IE5.)

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\
Windows\CURRENTVERSION\Internet Settings\
Cache\Paths\Path1
CachePath = "%Temporary Internet Files%\Content.IE5\Cache1"

(Note: The default value data of the said registry entry is C:\Documents and Settings\{user name}\Local Settings\Temporary Internet Files\Content.IE5\Cache1.)

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\
Windows\CURRENTVERSION\Internet Settings\
Cache\Paths\Path2
CachePath = "%Temporary Internet Files%\Content.IE5\Cache2"

(Note: The default value data of the said registry entry is C:\Documents and Settings\{user name}\Local Settings\Temporary Internet Files\Content.IE5\Cache2.)

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\
Windows\CURRENTVERSION\Internet Settings\
Cache\Paths\Path3
CachePath = "%Temporary Internet Files%\Content.IE5\Cache3"

(Note: The default value data of the said registry entry is :\Documents and Settings\{user name}\Local Settings\Temporary Internet Files\Content.IE5\Cache3.)

HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\
Windows\CURRENTVERSION\Internet Settings\
Cache\Paths\Path4
CachePath = "%Temporary Internet Files%\Content.IE5\Cache4"

(Note: The default value data of the said registry entry is C:\Documents and Settings\{user name}\Local Settings\Temporary Internet Files\Content.IE5\Cache4.)

Otros detalles

Muestra los cuadros de mensaje siguientes:

Title: Windows Script Host
Content: Script:\t%User Profile%\Local Settings
Temp\.tt3A.tmp.vbs\nLine:\t3\nChar:\t1\nError:\tNot found\n
\nCode:\t80041002\nSource: \tSWbemServices\n

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)