PE_KOLOBOK.A-O

Antepone sus códigos a los archivos de destino. Infecta determinados tipos de archivos insertando código en dichos archivos. Este malware crea un marcador de la infección en los archivos infectados.

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Instalación

Este malware infiltra una copia de sí mismo en las carpetas siguientes con diferentes nombres de archivo:

• %Application Data%\wecox.~p1 <- modified copy, prepended with “??KOLO” before the MZ header

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\services.exe <- with “-?cwk” as argument
• %Application Data%\wecox.~p0

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• PACMAN:CLOCKWORK:KOLOBOK

Infección de archivo

Antepone sus códigos a los archivos de destino.

Infecta los archivos con las siguientes extensiones insertando código en dichos archivos:

• .exe
• .scr
• .zip
• .rar
  (Note: The affected system must have a WinRAR installed for infection to .rar and .zip to work)
  It infects .rar and .zip file by dropping an infected copy of “msiexec.exe” to the archives
  • Uses the following shell command to aid this routine:
    • %Program Files%\WinRAR\WinRAR.exe a –ep –ibck –m5 –u –y – %User Temp%\{list of file names}{random number}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Este malware crea un marcador de la infección en los archivos infectados.

Evita infectar carpetas que contienen las cadenas siguientes:

• "ram f" <- Program Files
• ":\win" <- Windows Directory
• "\sys" <- System Directory
• "\recy" <- Recycle Bin
• TEMP <- Temp Folder
• APPDATA <- Application Data

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Rutina de infiltración

Infiltra los archivos siguientes:

• %User Temp%\{random}.{random} <- temporary copy of target file to infect, deleted afterwards
• %User Temp%\{list of file names}{random number}.exe <- temporary copy of infected “msiexec.exe”, deleted afterwards
  Where {list of file names} can be any of the following:
  • install
  • upgrade
  • trainer
  • license
  • keygen
  • serial
  • setup
  • patch
  • crack
  • cheat
  • cdkey

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).