Análisis realizado por : Rhena Inocencio   
 Alias

Adware:Win32/Cydoor (Microsoft), Adware/Cydoor (Panda), Cydoor (Sunbelt)

 Plataforma:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 Riesgo general:
 Infección divulgada:
 Impacto en el sistema :
 Revelación de la información:
Bajo
Medio
High
Crítico

  • Tipo de malware
    Adware

  • Destructivo?
    No

  • Cifrado
     

  • In the Wild:
    Sí

  Resumen y descripción

Llega como componente integrado en paquetes de malware/grayware/spyware. Puede haberlo instalado manualmente un usuario.

  Detalles técnicos

Tamaño del archivo 1,593,997 bytes
Tipo de archivo EXE
Fecha de recepción de las muestras iniciales 07 Nov 2012

Detalles de entrada

Llega como componente integrado en paquetes de malware/grayware/spyware.

Puede haberlo instalado manualmente un usuario.

Instalación

Infiltra los archivos siguientes:

  • %System%\cd_clint.dll
  • %System%\cd_load.exe
  • %System%\AdCache\b_{random number}.GIF

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Crea las carpetas siguientes:

  • %System%\AdCache
  • %System%\AdCache\Temp

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Cydoor\
Adwr_167\Loct_0\Level_4\
Seqn_{random number}
Url = "www.cydoor.com/BestDeals"

HKEY_CURRENT_USER\Software\Cydoor\
Adwr_167\Loct_0\Level_4\
Seqn_{random number}
Url = "http://service.bfast.com/bfast/click?bfmid=1429031&siteid=8854274&bfpage=homelinks"

HKEY_CURRENT_USER\Software\Cydoor\
Adwr_167\Loct_0\Level_4\
Seqn_{random number}
Url = "http://www.commission-junction.com/track/track.dll?AID=1143760&PID=190859&URL=http%3A%2F%2Ffxnetworks%2Ecom%2Fshows%2Foriginals%2Fthesight%2Findexcj%2Ehtml"

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\Prod.Cap

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Prod.Cap

HKEY_CURRENT_USER\Software\Cydoor

HKEY_LOCAL_MACHINE\SOFTWARE\Cydoor

HKEY_CURRENT_USER\Software\Cydoor\
Adwr_167

HKEY_CURRENT_USER\Software\Cydoor Services