Virus.Win64.EXPIRO.AA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Este malware no tiene ninguna rutina de puerta trasera.

Roba determinada información del sistema y/o del usuario.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Infiltra los archivos siguientes:

• %AppDataLocal%\{random characters }\cmd.exe -> infected copy of legitimate %System%\cmd.exe
• {infected directory path}\{random characters}.tmp -> initial infected file, later replaces the host executable file contents and then deleted.
• %ProgramData%\{random characters }.dat
• %ProgramData%\{random characters }.nls

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows 2000(32-bit), XP, Server 2003(32-bit), Vista, 7, 8, 8.1, 2008(64-bit), 2012(64bit) y 10(64-bit) en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Local\{random}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
Startup = %AppDataLocal%\{random characters}

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
Startup = %AppDataLocal%\{random characters}

Infección de archivo

Infecta los siguientes tipos de archivo:

• .EXE

Evita infectar archivos que contienen las cadenas siguientes en sus nombres:

• rsvp.exe
• chrome.exe
• rundll32.exe
• consent.exe
• sppsvc.exe
• WerFault.exe

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• wscsvc
• WinDefend
• MsMpSvc
• NisSrv
• gupdate
• gupdatem
• wuauserv

Robo de información

Roba la siguiente información:

• OS Information
• Drive Information
• System Locale Language
• Processor Name and Description
• Baseboard SKU and Model
• DiskDrive Model and Size
• Computer System Product Information

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}bykovfoqys.ws
• http://{BLOCKED}jixxu-pafkel
• http://{BLOCKED}ezed-picriv.ws
• http://{BLOCKED}ilixif.ws
• http://{BLOCKED}lraf-uxek.com
• http://{BLOCKED}humydoc.in
• http://{BLOCKED}amytavyx.ws
• http://{BLOCKED}fytipi.biz
• http://{BLOCKED}ovoxijyr.com
• http://{BLOCKED}kda-miw.biz
• http://{BLOCKED}sicpu.ru
• http://{BLOCKED}u-ozyh.in
• http://{BLOCKED}ade-ry.org
• http://{BLOCKED}ejudkyl.cc
• http://{BLOCKED}ahokadyp.in
• http://{BLOCKED}vy-aqaziq.org
• http://{BLOCKED}mehiqsixa.biz
• http://{BLOCKED}ovakyv.biz
• http://{BLOCKED}fxyzeca.biz
• http://{BLOCKED}wanysa.biz
• http://{BLOCKED}omo-beljum.ws
• http://{BLOCKED}hode.cc
• http://{BLOCKED}junedelqa.cc
• http://{BLOCKED}epma-jeh.com
• http://{BLOCKED}rifithal.in
• http://{BLOCKED}-boqmy.biz
• http://{BLOCKED}fabqajci.ru
• http://{BLOCKED}wetexdy.cc
• http://{BLOCKED}ery-ro.ru
• http://{BLOCKED}zumiwahod.com
• http://{BLOCKED}ykkodyky.ws
• http://{BLOCKED}hojavaze.com
• http://{BLOCKED}uvaponi.in
• http://{BLOCKED}acutebo.ws
• http://{BLOCKED}iwitucy.net
• http://{BLOCKED}ixjyfy.com
• http://{BLOCKED}ca-uci.ru
• http://{BLOCKED}ulivafe.com
• http://{BLOCKED}sobbe.ws
• http://{BLOCKED}ubucsasaw.biz
• http://{BLOCKED}b-efal.ru
• http://{BLOCKED}-bifik.com
• http://{BLOCKED}b-yjes.ru
• http://{BLOCKED}b-ohap.ru
• http://{BLOCKED}b-uluz.ru
• http://{BLOCKED}b-ekew.ru
• http://{BLOCKED}-copog.com
• http://{BLOCKED}b-ypud.ru
• http://{BLOCKED}b-urok.ru
• http://{BLOCKED}b-aquh.ru
• http://{BLOCKED}b-ivar.ru
• http://{BLOCKED}-betop.com
• http://{BLOCKED}b-oxyx.ru
• http://{BLOCKED}b-yxav.ru
• http://{BLOCKED}b-abif.ru
• http://{BLOCKED}b-ubyc.ru
• http://{BLOCKED}by-ezu.ru
• http://{BLOCKED}vvy-sihpy.ws
• http://{BLOCKED}ubiwezu.com
• http://{BLOCKED}a-xojfu.biz
• http://{BLOCKED}i-izy.org
• http://{BLOCKED}pi-ziboj.in
• http://{BLOCKED}olonkub.ru
• http://{BLOCKED}ylvos-hyqe.ws
• http://{BLOCKED}nixly-muro.cc
• http://{BLOCKED}usdi-ihyq.in
• http://{BLOCKED}ybavyxo.org
• http://{BLOCKED}odkitywuli.ws
• http://{BLOCKED}ewvupazah.ws
• http://{BLOCKED}owvusxuwlu.ws
• http://{BLOCKED}oqi-co.in
• http://{BLOCKED}a-ahusdyb.net
• http://{BLOCKED}beqfu-son.biz
• http://{BLOCKED}hynxavdu.net
• http://{BLOCKED}xjedkiciten.biz
• http://{BLOCKED}woxiqaf.ru
• http://{BLOCKED}ibliki.ru

Otros detalles

Hace lo siguiente:

• This infector infects the target files of shortcut files located in the following location(s):
  • %Programs%
  • %Desktop%
• Since the infector infects Startup programs, it also serves as its auto-start mechanism.
• It also searches all available drives for .EXE files that it will infect. In this way, the drives shared through network and removable drives will be infected. This also serves as its propagation method.

(Nota: %Desktop% es la carpeta Escritorio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Escritorio, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Escritorio y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\Desktop).