WORM_JOLEEE.YB

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

También puede redactar mensajes para que formen parte de la rutina de envío de spam.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Este malware se elimina tras la ejecución.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Este malware infiltra los siguientes archivos no maliciosos:

• %System%\drivers\str.sys
• %System%\MAI3.tmp

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Se introduce en los siguientes procesos que se ejecutan en la memoria del sistema afectado:

• svchost.exe
• explorer.exe

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\{3D5A1694-CC2C-4ee7-A3D5-A879A9E3A62A}

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
ImagePath = "%System%\drivers\{random}.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
DisplayName = "{random}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Group = "Boot Bus Extender"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
Start = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
_MAIN = "\??\%System%\MAI3.tmp"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
RulesData = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
krnl_sleepfreq = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
krnl_servers_list = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}\Enum
Count = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}\Enum
NextInstance = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}\Enum
INITSTARTFAILED = "1"

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}\Enum

Propagación

También puede redactar mensajes para que formen parte de la rutina de envío de spam.

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• perform DoS/DDoS attacks
• download files from a remote computer and/or the Internet
• run executable files
• terminate running processes
• sending various information about the infected computer
• update itself to a newer version
• receive data for spam email

Capacidades de rootkit

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Finalización del proceso

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• AVGIDSAgent.exe
• AVGIDSMonitor.exe
• McSvHost.exe
• MsMpEng.exe
• Normandy.sys
• RkUnhooker.exe
• RootRepeal.exe
• avfwsvc.exe
• avgam.exe
• avgchsvx.exe
• avgcsrvx.exe
• avgemc.exe
• avgfrw.exe
• avgfws9.exe
• avgnsx.exe
• avgnt.exe
• avgrsx.exe
• avgtray.exe
• avguard.exe
• avgui.exe
• avgwdsvc.exe
• avmailc.exe
• avp.exe
• avshadow.exe
• avwebgrd.exe
• ccSvcHst.exe
• cfp.exe
• cmdagent.exe
• dwengine.exe
• egui.exe
• ekrn.exe
• gmer.exe
• gmer.sys
• greypill.sys
• kl1.sys
• mcagent.exe
• mcshield.exe
• mfefire.exe
• mfevtps.exe
• msseces.exe
• rootrepeal.sys
• spideragent.exe
• spidergate.exe
• spiderml.exe

Rutina de infiltración

Infiltra los archivos siguientes:

• %System%\drivers\{random}.sys - detected as RTKT_JOLEEE.YB

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Otros detalles

Este malware se elimina tras la ejecución.