TROJ_DNSCHANG.YI

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos. Puede haberlo infiltrado otro malware. Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Se conecta a determinadas URL. Uno de los objetivos para ello puede ser informar remotamente de su instalación a un usuario malicioso. También puede hacerlo para descargar archivos maliciosos en el equipo, lo que aumentaría su riesgo de infección por parte de otras amenazas.

Detalles de entrada

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Puede haberlo infiltrado otro malware.

Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %System%\spool\driver\PMTP_TEMP_CONFIG.INI

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\spool\drivers\nps.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
Type = 10

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
Start = 2

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
ErrorControl = 1

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
ImagePath = %System%\spool\drivers\nps.exe /Start

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
DisplayName = Network Port Services

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
ObjectName = LocalSystem

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Network Port Services
Description = This Service analysis Network Ports. If this service was stopped, the computer will not be able to resolve Network Port and location Active Directory domain controller. If this service is disabled, any clear rely on its services will not be able to start.

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService_Temp

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Service = Network Port Services

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Programe = nps.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Description = This Service analysis Network Ports. If this service was stopped, the computer will not be able to resolve Network Port and location Active Directory domain controller. If this service is disabled, any clear rely on its services will not be able to start.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
ClientID = Ours

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
FirstServer = http://www.highest-developments.com/ptmp2.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
SecondServer = http://www.moderinnovation.com/ptmp2.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
ThirdServer = http://www.spf-domainkey.com/ptmp2.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
Disallow = bl.php

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
DomainVer = du.txt

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
DomainList = dd.txt

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
PTMPService
IISPort = {new IIS Port number}

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
BW-PTMP = %System%\spool\drivers\nps.exe:*:enabled:Explorer

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
BW-PTMP = %System%\spool\drivers\nps.exe:*:enabled:Explorer

Rutina de descarga

Se conecta a las siguientes URL maliciosas:

• http://www.{BLOCKED}t-developments.com/ptmp2.php
• http://www.{BLOCKED}nnovation.com/ptmp2.php
• http://www.{BLOCKED}mainkey.com/ptmp2.php