BKDR_ANDROM.JB

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Ejecuta una línea de comandos remota.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• {All Users' profile}\svchost.exe
• {All Users' profile}\Local Settings\Temp\ms{random characters}.{extension name} (if running as administrator)
• %User Profile%\Local Settings\Temp\ms{random characters}.{extension name} (if not running as administrator)

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SunJavaUpdateSched = "{All Users' profile}\svchost.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
SunJavaUpdateSched = "{All Users' profile}\svchost.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
{volume serial number of drive C:} = "{All Users' profile}\Local Settings\Temp\ms{random characters}.{extension name}" (if running as administrator)

HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%User Profile%\Local Settings\Temp\ms{random characters}.{extension name}" (if not running as administrator)

Rutina de puerta trasera

Abre los puertos siguientes:

• TCP port 8000

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Download an .EXE file from a URL and save it as %User Temp%\{random number}.exe, then execute the file
• Download a file from a URL and save it in the following registry entries:
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
    {file name} = "{contents of the file}" (if running as administrator)
  • HKEY_CURRENT_USER\Software\Microsoft
    {file name} = "{contents of the file}" (if not running as administrator)
• Save the contents of the following registry entries as %User Temp%\{random file name}.exe and execute the file:
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
    {random number} = "{contents of the file}" (if running as administrator)
  • HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows
    {random number} = "{contents of the file}" (if not running as administrator)
• Download a .DLL file from the C&C server and save it as {All Users' profile}\ms{random characters}.{extension name}. Create the following registry entry:
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
    {All Users' profile}\ms{random characters}.{extension name} = "{exported function of the downloaded .DLL file}" (if running as administrator)
  • HKEY_CURRENT_USER\Software\Microsoft
    {All Users' profile}\ms{random characters}.{extension name} = "{exported function of the downloaded .DLL file}" (if not running as administrator)
• Remove all malware entries in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft or HKEY_CURRENT_USER\Software\Microsoft and deletes the malware files they are pointing to
• Remove all malware entries in HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft or HKEY_CURRENT_USER\Software\Microsoft and reexecute itself
• Uninstall self

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Otros detalles

Ejecuta una línea de comandos remota.