TSPY_URSNIF.DUNB

Se conecta a determinados sitios Web para enviar y recibir información. Este malware se elimina tras la ejecución.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %System%\{string1 + string2}.exe
  where:
  • {string1} = first four letters of a dll file under %System% directory
  • {string2} = last four letters of a dll file under %System% directory
  (e.g. ciadt500.exe = ciadmin.dll + jet500.dll)
  
  

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Infiltra y ejecuta los archivos siguientes:

• %User Temp%\{Random Filename}.bat - batch file to delete the executed copy

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• explorer.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%System%\{string1 + string2}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\AppDataLow\
{GUID}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\AppDataLow\
{GUID}
Install = "{hex value}"

HKEY_CURRENT_USER\Software\AppDataLow\
{GUID}
Client = "{hex value}"

Robo de información

Recopila los siguientes datos:

• Digital certificates
• Captured screenshot
• Computer name
• List of processes
• List of contents of the registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\
• System information
• Cookies
• List of drivers

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}iren.ru
• http://{BLOCKED}iren.su
• http://{BLOCKED}tsar.ru
• http://{BLOCKED}tsar.su
• http://{BLOCKED}utro.su
• http://{BLOCKED}yzvuk.ru
• http://{BLOCKED}yzvuk.su
• http://{BLOCKED}oepivo.su
• http://{BLOCKED}iyden.ru
• http://{BLOCKED}iyden.su
• http://{BLOCKED}neviyrassvet.ru
• http://{BLOCKED}neviyrassvet.su
• http://{BLOCKED}ystul.ru
• http://{BLOCKED}ystul.su
• http://{BLOCKED}ayaporuka.ru
• http://{BLOCKED}ayaporuka.su
• http://{BLOCKED}dozhd.ru
• http://{BLOCKED}dozhd.su
• http://{BLOCKED}oge.ru
• http://{BLOCKED}oge.su
• http://{BLOCKED}class.su
• http://{BLOCKED}lich.su
• http://{BLOCKED}sneg.ru
• http://{BLOCKED}sneg.su
• http://{BLOCKED}vrag.ru
• http://{BLOCKED}vrag.su
• http://{BLOCKED}yzakat.ru
• http://{BLOCKED}yzakat.su
• http://{BLOCKED}kamish.ru
• http://{BLOCKED}kamish.su
• http://{BLOCKED}grom.ru
• http://{BLOCKED}grom.su
• http://{BLOCKED}reka.ru
• http://{BLOCKED}reka.su
• http://{BLOCKED}anoch.ru
• http://{BLOCKED}anoch.su
• http://{BLOCKED}les.ru
• http://{BLOCKED}les.su
• http://{BLOCKED}avodka.ru
• http://{BLOCKED}avodka.su
• http://{BLOCKED}hepot.ru
• http://{BLOCKED}hepot.su
• http://{BLOCKED}vecher.ru
• http://{BLOCKED}vecher.su
• http://{BLOCKED}aviypen.ru
• http://{BLOCKED}aviypen.su
• http://{BLOCKED}viyzayac.ru
• http://{BLOCKED}viyzayac.su
• http://{BLOCKED}heln.ru
• http://{BLOCKED}heln.su

Este malware se elimina tras la ejecución.