BKDR_MEVADE.A

Para obtener una visión integral del comportamiento de este Backdoor, consulte el diagrama de amenazas que se muestra a continuación.

Utiliza el Programador de tareas de Windows para crear una tarea programada que ejecute las copias que infiltra.

Ejecuta determinados comandos que recibe de forma remota desde un usuario malicioso. De esta forma pone en gran peligro el equipo afectado y la información del mismo.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\TrustedInstaller.exe
• %System%\uti.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Este malware infiltra el siguiente archivo no malicioso:

• %System%\~stg

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Utiliza el Programador de tareas de Windows para crear una tarea programada que ejecute las copias que infiltra.

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
Type = "20"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
Start = "02"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
ImagePath = "C:\WINDOWS\system32\TrustedInstaller.exe" /svc

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
DisplayName = "Trusted Installer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
ObjectName = "LocalSystem"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer
Description = "Adds, modifies, and removes applications provided as a Windows Installer (*.msi) package. If this service is disabled, any services that explicitly depend on it will fail to start."

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Trusted Installer

La tarea programada ejecuta el malware en el período siguiente:

• %Windows%\Tasks\TrustedInstaller Update.job - executes the malware daily every one hour
• %Windows%\Tasks\TrustedInstaller Update 2.job - executes the malware at system startup

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Otras modificaciones del sistema

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path}\{malware filename}.exe = "{malware path}\{malware filename}.exe:*:Enabled:{malware filename}.exe(in)"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\TrustedInstaller.exe = "%System%\TrustedInstaller.exe:*:Enabled:TrustedInstaller.exe(in)"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Perform remote connection to a certain location supplied by the remote user using SSH
• Update copy of itself