Worm.JS.BONDAT.DNN

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %User Temp%\{malware filename}.js
• %AppDataLocal%\{randomly generated chars}
• %AppDataLocal%\{randomly generated chars}\{random chars}
• %AppDataLocal%\{randomly generated chars}\{random chars}.js
• %AppDataLocal%\{randomly generated chars}\{random chars}.exe
• {Removable}:\Files\{num}\{malware copy}.js
• {Removable}:\Files.bat
• {Removable}:\System Volume Information\{random}\{random}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Agrega los procesos siguientes:

• "%System%\wscript.exe" "%User Temp%\{malware filename}.js" {randomly generated parameter}
• "%System%\cmd.exe" /c del /F /S /Q "%AppDataLocal%\{randomly generated chars}\*.exe"
• "%AppDataLocal%\{randomly generated chars}\{random chars}.exe" "%User Temp%\{malware filename}.js" {randomly generated parameter}
• %System%\cmd.exe /c shutdown /p /f

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = %AppData%\{random}\{random}.exe "%AppData%\{random}\{random}.js"

Infiltra el siguiente acceso directo dirigido a su copia en la carpeta de inicio del usuario para que se ejecute automáticamente cada vez que arranque el sistema:

• %All Users Profile%\Microsoft\Windows\Start Menu\Programs\Startup\Start.lnk
• %User Startup%\Start.lnk

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Finalización del proceso

Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• "autoruns"
• "avast"
• "avenger"
• "avg"
• "ccsetup"
• "cleaner"
• "combofix"
• "dds"
• "emergencykit"
• "fiddler"
• "filemon"
• "frst"
• "fs20"
• "fss"
• "gmer"
• "hijackthis"
• "hotfix"
• "housecall"
• "issetup"
• "klwk"
• "mbam"
• "mbsa"
• "mcshield"
• "mrt"
• "msconfig"
• "msss"
• "otl"
• "perfmon"
• "procexp"
• "procmon"
• "ptinstall"
• "regedit"
• "regmon"
• "resmon"
• "roguekiller"
• "rstrui"
• "rubotted"
• "sdasetup"
• "sysclean"
• "tcpview"
• "unlocker"
• "vbsvbe"
• "windows-kb"
• "wireshark"
• "zoek"
• "zphdiag"