WORM_PALEVO.ARL

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos. Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Detalles de entrada

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\jusched.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Java developer Script Browse = %Windows%\jusched.exe

Otras modificaciones del sistema

Este malware modifica la(s) siguiente(s) entrada(s)/clave(s) de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wuauserv
Start = 4

(Note: The default value data of the said registry entry is 2.)

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
%Program Files%\MSN Messenger\msnmsgr.exe = %Program Files%\MSN Messenger\msnmsgr.exe:*:Enabled:MSN Me ssenger 7.0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{Malware Path and File Name} = {Malware Path and File Name}:*:Enabled:1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Program Files%\MSN Messenger\msnmsgr.exe = %Program Files%\MSN Messenger\msnmsgr.exe:*:Enabled:MSN Messenger 7.0

Propagación

Envía copias de sí mismo a los destinatarios mediante las siguientes aplicaciones de mensajería instantánea:

• Yahoo! Messenger
• MSN Messenger
• Skype

Rutina de puerta trasera

Se conecta a uno de los servidores de IRC siguientes:

• nuevo.{BLOCKED}ardigital.com
• server1.{BLOCKED}ootmusic.com

Rutina de adware

Se conecta a las URL siguientes para descargar y mostrar publicidad:

• http://browseusers.{BLOCKED}ce.com/Browse/Browse.aspx
• http://x.{BLOCKED}cecdn.com
• http://js.{BLOCKED}cecdn.com
• http://c3.ac-images.{BLOCKED}cecdn.com
• http://p.ic.{BLOCKED}t.com
• http://{BLOCKED}.{BLOCKED}.36.96/index.php

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• This worm attempts to establish connection to the following remote host on port 80:
  • {BLOCKED}.{BLOCKED}.38.168
  • {BLOCKED}.{BLOCKED}.36.96
  • {BLOCKED}.{BLOCKED}.80.58
  • {BLOCKED}.{BLOCKED}.86.23
  • {BLOCKED}.{BLOCKED}.86.30
  • {BLOCKED}.{BLOCKED}.86.37
  • {BLOCKED}.{BLOCKED}.131.147
  • {BLOCKED}.{BLOCKED}.131.148
  • {BLOCKED}.{BLOCKED}.131.149
  • {BLOCKED}.{BLOCKED}.131.150
  • {BLOCKED}.{BLOCKED}.131.156
  • {BLOCKED}.{BLOCKED}.131.163
  • {BLOCKED}.{BLOCKED}.131.174
  • {BLOCKED}.{BLOCKED}.131.181
  • {BLOCKED}.{BLOCKED}.131.182
  • {BLOCKED}.{BLOCKED}.131.187
  • {BLOCKED}.{BLOCKED}.71.154
  • {BLOCKED}.{BLOCKED}.71.166
• It tries to open port 2345 in an attempt to join any of the following IRC server:
  • server1.{BLOCKED}ootmusic.com
  • nuevo.{BLOCKED}ardigital.com
• It uses the following credentials to join the IRC server:

  PASS xxx
  NICK NEW-[USA|00|P|83944] USER XP-5814 * 0 :{Computer Name}

• Once a successful connection is established, it sends the following message that contains a link pointing to a copy of itself:

  #gf! :.m.s|.m.e is this you on pic?