Virus.Win32.BKICE.A

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Recopila determinada información del equipo afectado.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\blackice.exe
• %System%\kernel.dll
• {Removable drive}\blackice.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega los procesos siguientes:

• %System%\blackice.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• blackicemutex

Este malware se inyecta en los siguientes procesos que se ejecutan en la memoria:

• explorer.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
run = %System%\blackice.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
shell = Explorer.exe %System%\blackice.exe

Infiltra los archivos siguientes:

• {Removable Drive}\AUTORUN.inf -> executes blackice.exe

Otras modificaciones del sistema

Elimina los archivos siguientes:

• Files with .GHO extension (Norton backup)

Agrega las siguientes entradas de registro:

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Word\
Security
Level = 1

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Word\
Security
AccessVBOM = 1

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Excel\
Security
Level = 1

HKEY_CURRENT_MACHINE\Software\Microsoft\
Office\{Office Version}\Excel\
Security
AccessVBOM = 1

Infección de archivo

Infecta los siguientes tipos de archivo:

• .XLS files
• .DOC files
• .EXE files

Evita infectar archivos que no usan iconos específicos.

• "winnt" in path
• "windows" in path

Propagación

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• NAVAPW32
• NAVAPSVC
• NMAIN
• NAVW32
• KVFW
• KAVSVCUI
• KAVPFW
• KAV32
• KVXP
• KVSRVXP
• KVMONXP
• KVWSC
• KAVSVC
• KWATCHUI
• RAVMOND
• RAVMON
• RAVTIMER
• RISING
• RAV.EXE
• IPARMOR
• TROJANHUNTER
• THGUARD
• PFW
• EGHOST
• ANYVIEW
• KASPERSKY
• 360SAFE

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %System%\blackice.ini -> contains received information from C2 server (deleted later)

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Robo de información

Recopila la siguiente información del equipo afectado:

• Hostname
• Volume Serial Number
• MAC Address
• Microsoft Office Version

Otros detalles

Hace lo siguiente:

• Should meet the following conditions in order to proceed with infection routine:
  • dwOSVersionInfoSize should be 9c or 94
  • dwPlatformId should be 2 (Win32NT or later)
• Infects files found in the following drive types:
  • Fixed
  • Network connected via WNetEnum