WORM_VERCUSE.CV

Publish Date: 23 de января de 2014

Author: Anthony Joe Melgarejo

Worm:Win32/Vercuser.A (Microsoft), Win32/Vercuser.A worm (ESET)

PLATFORM:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

OVER ALL RISK RATING:

DAMAGE POTENTIAL::

DISTRIBUTION POTENTIAL::

REPORTED INFECTION:

INFORMATION EXPOSURE:

Low

Medium

High

Critical

Threat Type:
Worm
Destructiveness:
No
Encrypted:
In the wild::
Yes

OVERVIEW

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

TECHNICAL DETAILS

File size: 499,069 bytes

File type: EXE

INITIAL SAMPLES RECEIVED DATE: 07 de мая de 2013

Instalación

Infiltra los archivos siguientes:

%User Temp%\~temp~{random}iN.dat
%User Temp%\~temp~{random}iN.dat
%User Temp%\~temp~{random}~.tmp
%Program Files%\Internet Explorer\ieinstal.dll
%User Temp%\~DF{random}KB.tmp.exe
User Temp%\~security~update~{random}.log

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

)

Crea las siguientes copias de sí mismo en el sistema afectado:

%Application Data%\Microsoft\Windows\~temp~{random}iN.exe
%User Temp%\hsperfdata_temp\~temp~clear~{random}.exe
%User Temp%\~temp~{random}iN.exe
%User Temp%\hsperfdata_temp\~temp~clear~{random}.exe
%Program Files%\Windows Defender\MSASCui.exe
%Application Data%\Program Files\Windows Defender\MSASCui.exe
%Program Files%\Internet Explorer\iexplore.exe
%Application Data%\Program Files\Internet Explorer\iexplore.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\RunOnce
ClearTemp = "%User Temp%\hsperfdata_temp\~temp~clear~{random}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
ClearTemp = "%User Temp%\hsperfdata_temp\~temp~clear~{random}.exe"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\RunOnce
Windows Defender = "%Program Files%\Windows Defender\MSASCui.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Defender = %Program Files%\Windows Defender\MSASCui.exe

Infiltra el siguiente acceso directo dirigido a su copia en la carpeta de inicio del usuario para que se ejecute automáticamente cada vez que arranque el sistema:

Windows Defender.lnk
Internet Security.lnk

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio común de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

Windows Defender.lnk
Internet Security.lnk

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer
WaitDir = "{pre-defined directory}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer
Lastupdate = "{malware-defined value}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer
DownDir = "{pre-defined directory}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer
SecurityKey = "{malware-defined value}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer
iSecurityCheck = "{random value}"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer
SecurityKey = "{malware-defined value}"

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer
iSecurityCheck = "{random value}"

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(Note: The default value data of the said registry entry is 1.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"

(Note: The default value data of the said registry entry is 0.)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
NOHIDDEN
DefaultValue = "2"