Virus.Win32.NAPWHICH.C

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %ProgramData%\Synaptics

Infiltra los archivos siguientes:

• {Malware path}\._cache_{Malware name} (copy of original executable prior to its infection)
• %ProgramData%\Synaptics\Synaptics.exe (mother file)
• %System%\{Random characters}.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega los procesos siguientes:

• {Malware path}\._cache_{Malware name}
• %ProgramData%\Synaptics\Synaptics.exe InjUpdate
• %System%\cmd.exe /c pause
• %System%\cmd.exe /c del {Malware path}\._cache_{Malware name} > nul

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Synaptics2X
• FBsaFRkaHhUUGxoVFB0cKw==

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Synaptics Pointing Device Driver = %ProgramData%\Synaptics\Synaptics.exe

Inicia los servicios siguientes:

• Service name: Abcdef Hijklmno Qrs
  Image path: %System%\{Random characters}.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Infección de archivo

Infecta los siguientes tipos de archivo:

• .exe
• .xlsx (changed extension to .xlsm)

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Get command line access
• Capture screenshot
• List all disks
• List folders
• Download and execute files
• Delete files
• Add guest users to net group
• Display message boxes
• Log keystrokes
• Get clipboard data
• Write to master boot record

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://freedns.{BLOCKED}d.org/api/?action=getdyndns&sha=a30fa98efc092684e8d1c5cff797bcc613562978
• xred.{BLOCKED}o.com:1199
• {BLOCKED}.{BLOCKED}.103.169:6380

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\{Random characters}.ini

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Robo de información

Tras la ejecución de la aplicación afectada, recopila la siguiente información:

• OS information
• Location of %ProgramData% folder
• Dropped file and folder name
• Flag to indicate if malware is executed as administrator
• Malware version
• Keylogged information
• Clipboard data

Información sustraída

Este malware envía los datos que recopila a las siguientes direcciones de correo electrónico a través de SMTP:

• {BLOCKED}ne2@gmail.com
• {BLOCKED}ne3@gmail.com

Otros detalles

Hace lo siguiente:

• It may enable or disable remote desktop connections through manipulating the following registry:
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\fDenyTSConnections