TROJ_FAKEAV.GAC

Se conecta a un sitio Web para enviar y recibir información.

Este malware muestra alertas falsas que advierten a los usuarios de una infección. También muestra resultados de exploración falsos del sistema afectado. A continuación pide a los usuarios que lo adquieran una vez haya finalizado la exploración. Si los usuarios deciden adquirir el producto, aparecerá un sitio Web en el que se les pedirá información confidencial, como su número de tarjeta de crédito.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System Root%\Documents and Settings\All Users\Application Data\f0171\MS314.exe

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Crea las carpetas siguientes:

• %Application Data%\My Security Shield
• %System Root%\Documents and Settings\All Users\Application Data\MSEHSFS
• %System Root%\Documents and Settings\All Users\Application Data\f0171
• %Desktop%\Quarantine Items
• %Desktop%\MSSSys
• %Desktop%\BackUp

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
My Security Shield = "%System Root%\Documents and Settings\All Users\Application Data\f0171\MS314.exe" /s /d

Infiltra los archivos siguientes:

• %Start Menu%\\My Security Shield.lnk - shortcut to its copy
• %Start Menu%\\Programs\\My Security Shield.lnk- shortcut to its copy
• %Desktop%\\57.mof - non-malicious component
• %Desktop%\\My Security Shield.lnk- shortcut to its copy
• %Application Data%\\Microsoft\\Internet Explorer\\Quick Launch\\My Security Shield.lnk - shortcut to its copy
• %User Profile%\\Recent\\DBOLE.sys - non-malicious component
• %User Profile%\\Recent\\pal.exe - non-malicious component
• %User Profile%\\Recent\\PE.exe - non-malicious component
• %User Profile%\\Recent\\DBOLE.drv - non-malicious component
• %User Profile%\\Recent\\fan.dll - non-malicious component
• %User Profile%\\Recent\\hymt.drv - non-malicious component
• %User Profile%\recent\SICKBOY.sys - non-malicious component
• %User Profile%\recent\ANTIGEN.sys - non-malicious component
• %User Profile%\recent\energy.drv - non-malicious component
• %User Profile%\recent\ANTIGEN.dll - non-malicious component

(Nota: %Start Menu% es la carpeta Menú Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Menú Inicio).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\a.DocHostUIHandler

HKEY_CLASSES_ROOT\CLSID\{3F2BBC05-40DF-11D2-9455-00104BC936FF}

HKEY_CURRENT_USER\Software\3

Agrega las siguientes entradas de registro:

HKEY_CLASSES_ROOT\Software\Microsoft\
Internet Explorer\SearchScopes
URL = http://{BLOCKED}ala.com/?&uid=2118&q={searchTerms}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer
ltHI = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer
IIL = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer
ltTST = 1311

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer
ltHI = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer
PRS = http://127.0.0.1:27777/?inj=%ORIGINAL%

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\BrowserEmulation
MSCompatibilityMode = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
DisallowRun = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
0 = msseces.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
1 = MSASCui.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
2 = ekrn.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
3 = egui.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
5 = avcenter.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
6 = avscan.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
7 = avgfrw.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
8 = avgui.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
9 = avgtray.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
10 = avgscanx.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
11 = avgcfgex.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
12 = avgemc.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
13 = avgchsvx.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
14 = avgcmgr.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\DisallowRun
15 = avgwdsvc.exe

HKEY_USERS\.DEFAULT\Software\
Microsoft\Internet Explorer\SearchScopes
URL = http://{BLOCKED}ala.com/?&uid=2118&q={searchTerms}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options
Debugger = svchost.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Image File Execution Options\
{application name}
Debugger = svchost.exe

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
CheckExeSignatures = no

(Note: The default value data of the said registry entry is yes.)

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and filename} = {malware path and filename}:*:Enabled:My Security Shield

Rutina de puerta trasera

Se conecta a los sitios Web siguientes para enviar y recibir información:

• {BLOCKED}dwlentor-disgan669.net

Rutina de antivirus falso

Muestra los siguientes avisos falsos:

Este malware muestra alertas falsas que advierten a los usuarios de una infección. También muestra resultados de exploración falsos del sistema afectado. A continuación pide a los usuarios que lo adquieran una vez haya finalizado la exploración. Si los usuarios deciden adquirir el producto, aparecerá un sitio Web en el que se les pedirá información confidencial, como su número de tarjeta de crédito.