WORM_BRONTOK.DNM

Utiliza el Programador de tareas de Windows para agregar una tarea programada que ejecute las copias que infiltra.

Desactiva el Administrador de tareas, el Editor del Registro y las opciones de carpeta.

Instalación

Infiltra los archivos siguientes:

• %System Root%\autoexec.bat
• %AppDataLocal%\BronNetDomList.bat
• %User Profile%\Pictures\about.Brontok.A.html

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Infiltra y ejecuta los archivos siguientes:

• %AppDataLocal%\inetinfo.exe
• %AppDataLocal%\winlogon.exe
• %AppDataLocal%\smss.exe
• %AppDataLocal%\services.exe
• %AppDataLocal%\lsass.exe
• %AppDataLocal%\csrss.exe

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\ShellNew\bronstab.exe
• %Windows%\eksplorasi.pif
• %AppDataLocal%\smss.exe
• %AppDataLocal%\services.exe
• %AppDataLocal%\lsass.exe
• %AppDataLocal%\inetinfo.exe
• %AppDataLocal%\csrss.exe
• %AppDataLocal%\winlogon.exe
• %User Startup%\Empty.pif
• %System%\{username}'s Setting.scr
• %System%\drivers\etc\hosts-Denied By-{username}.com
• %Application Data%\Microsoft\Windows\Templates\WowTumpeh.com

Utiliza el Programador de tareas de Windows para agregar una tarea programada que ejecute las copias que infiltra.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Tok-Cirrhatus = %Application Data%\smss.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Bron-Spizaetus = %Windows%\ShellNew\bronstab.exe

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe %Windows%\eksplorasi.pif

(Note: The default value data of the said registry entry is explorer.exe.)

La tarea programada ejecuta el malware con cada:

• 5:08 PM every day

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableCMD = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Schedule
AtTaskMaxHours = 48

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 0

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = 1

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(Note: The default value data of the said registry entry is 1.)

Crea la(s) siguiente(s) entrada(s) de registro para desactivar el Administrador de tareas, las herramientas de registro y las opciones de carpeta:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = 1

Propagación

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {drive letter}:\Data {username}.exe

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• mcvsescn.exe
• poproxy.exe
• avgemc.exe
• ccapps.exe

Rutina de infiltración

Infiltra los archivos siguientes:

• %AppDataLocal%\Bron.tok.A8.em.bin
• %AppDataLocal%\Update.8.Bron.Tok.bin
• %AppDataLocal%\Kosong.Bron.Tok.txt
• %AppDataLocal%\BronNPath0.txt
• %AppDataLocal%\ListHost8.txt
• %AppDataLocal%\BronFoldNetDomList.txt
• %AppDataLocal%\Loc.Mail.Bron.Tok\{email}.ini