Trojan.Win32.SMOKELOADER.BF

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Inyecta sus archivos o componentes infiltrados en procesos específicos.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Este malware no tiene ninguna rutina de servidor proxy.

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual. Este malware se elimina tras la ejecución.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\xFFgPbPjc.exe
• %Application Data%\{random name generated from system information} -> copy of embedded file in the original malware sample

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Infiltra los archivos siguientes:

• %Application Data%\{random name generated from system information} -> downloaded component
• %User Temp%\tmp{Random characters}.tmp -> XML file of scheduled task
• %User Temp%\44DA.tmp -> copy of ntdll.dll

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• hEEGiYfYVPKLqPCGdBwOGnewhnI
• {Random hash from system information}

Inyecta sus archivos o componentes infiltrados en los siguientes procesos:

• explorer.exe

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• explorer.exe

Termina su ejecución cuando encuentra los siguientes procesos en la memoria del sistema afectado:

• qemu-ga.exe
• qga.exe
• windanr.exe
• vboxservice.exe
• vboxtray.exe
• vmtoolsd.exe
• prl_tools.exe

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %Application Data%\{dropped copy with random name}:Zone.Identifier

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• OllyDbg.exe
• ProcessHacker.exe
• procmon.exe
• procexp.exe
• wireshark.exe
• autoruns.exe
• idaq.exe
• tcpview.exe

Rutina del servidor proxy

Este malware no tiene ninguna rutina de servidor proxy.

Robo de información

Recopila los siguientes datos:

• Computer Name
• System Volume Information
• Internet Explorer version
• User Agent String
• User Name

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}sky.net/

Otros detalles

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.

Este malware se elimina tras la ejecución.