Virus.Win32.LOOKED.AA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Inyecta sus archivos o componentes infiltrados en procesos específicos.

Antepone sus códigos a los archivos de destino. Infecta determinados tipos de archivos insertando código en dichos archivos.

Este malware no tiene ninguna rutina de puerta trasera.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Este malware no tiene ninguna capacidad para robar información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Agrega las carpetas siguientes:

• %Windows%\uninstall\

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Windows%\uninstall\rundl132.exe
• If an infected file is executed:
  • %Windows%\Logo1_.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Agrega los procesos siguientes:

• If an infected file is executed:
  • cmd /c %User Temp%\{temp filename].bat
  • %Windows%\Logo1_.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Inyecta sus archivos o componentes infiltrados en los siguientes procesos:

• explorer.exe
• iexplore.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
load = %Windows%\uninstall\rundl132.exe

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Soft\
DownloadWWW
auto = 1

Infección de archivo

Antepone sus códigos a los archivos de destino.

Busca archivos de destino en las unidades siguientes:

• C to Z (Fixed drives only)

Infecta los archivos con las siguientes extensiones insertando código en dichos archivos:

• .EXE

Evita infectar carpetas que contienen las cadenas siguientes:

• system
• system32
• windows
• Documents and Settings
• System Volume Information
• Recycled
• winnt
• Program Files\Windows NT
• Program Files\WindowsUpdate
• Program Files\Windows Media Player
• Program Files\Outlook Express
• Program Files\Internet Explorer
• Program Files\ComPlus Applications
• Program Files\NetMeeting
• Program Files\Common Files
• Program Files\Messenger
• Program Files\InstallShield Installation Information
• Program Files\Microsoft Frontpage
• Program Files\Movie Maker
• Program Files\MSN Gaming Zone

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• Kingsoft AntiVirus Service

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• EGHOST.EXE
• IPARMOR.EXE
• KAVPFW.EXE
• KRegEx.exe
• KVMonXP.KXP
• KVXP.KXP
• MAILMON.EXE
• mcshield.exe
• RavMon.exe
• Ravmond.EXE
• regsvc.exe

Rutina de infiltración

Infiltra los archivos siguientes:

• %System Root%\_desktop.ini → contains date of infection
• %Windows%\RichDll.dll → detected as TROJ_LOOKED.ACM
• If an infected file is executed:
  • %User Temp%\{temp filename].bat → replaces infected file with original(uninfected) file

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Rutina de descarga

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Robo de información

Este malware no tiene ninguna capacidad para robar información.

Otros detalles

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\Software\Soft

HKEY_LOCAL_MACHINE\Software\Soft\
DownloadWWW

Hace lo siguiente:

• It prioritizes infection on the following executables:
  • ACDSee4.exe
  • ACDSee5.exe
  • ACDSee6.exe
  • AgzNew.exe
  • Archlord.exe
  • AutoUpdate.exe
  • autoupdate.exe
  • BNUpdate.exe
  • Datang.exe
  • editplus.exe
  • EXCEL.EXE
  • flashget.exe
  • foxmail.exe
  • FSOnline.exe
  • GameClient.exe
  • install.exe
  • jxonline_t.exe
  • launcher.exe
  • lineage.exe
  • LineageII.exe
  • MHAutoPatch.exe
  • Mir.exe
  • msnmsgr.exe
  • Mu.exe
  • my.exe
  • NATEON.exe
  • NSStarter.exe
  • Patcher.exe
  • patchupdate.exe
  • QQ.exe
  • Ragnarok.exe
  • realplay.exe
  • run.exe
  • setup.exe
  • Silkroad.exe
  • Thunder.exe
  • ThunderShell.exe
  • TTPlayer.exe
  • Uedit32.exe
  • Winrar.exe
  • WINWORD.EXE
  • woool.exe
  • zfs.exe
• It then infects all executables in directories and subdirectories that do not have any of the executables.
• This malware attempts to propagate via network shares. It uses administrator as its user name to gain access to the following default shares:
  • ADMIN$
  • IPC$
• It closes window(s) related to the following processes:
  • avp.exe
  • RavMon.exe