TSPY_MINOCDO.A

Para obtener una visión integral del comportamiento de este Spyware, consulte el diagrama de amenazas que se muestra a continuación.

Modifica los archivos HOSTS del sistema afectado. Esto impide el acceso de los usuarios a determinados sitios Web.

Recopila información específica del sistema afectado.

Se conecta a determinados sitios Web para enviar y recibir información.

Instalación

Agrega las carpetas siguientes:

• {OS depended directory}\cddnivot

Este malware infiltra el/los siguiente(s) archivo(s):

• {OS dependent directory}\cddnivot\cfg - encrypted config file
• {OS dependent directory}\cddnivot\etc
• {OS dependent directory}\cddnivot\ihst
• {OS dependent directory}\cddnivot\lck
• {OS dependent directory}\cddnivot\por
• {OS dependent directory}\cddnivot\rng
• {OS dependent directory}\cddnivot\run
• {OS dependent directory}\cddnivot\tst

Crea las siguientes copias de sí mismo en el sistema afectado:

• {OS dependent directory}\capbepfn.exe
• {OS dependent directory}\azlwpsbcwya.exe
• %User Temp%\i5wfyrpl{random characters}.exe
• %Temp%\i5wfyrpl{random characters}.exe - for Windows OS other than Vista and 7

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Técnica de inicio automático

Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
Type = "110"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
Start = "2"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
ImagePath = "%System%\capbepfn.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
DisplayName = "UserMode Protection PNRP Services Machine Remote"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote
ObjectName = "LocalSystem"

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Browser Studio WWAN Installer Location = "%System%\capbepfn.exe"

Se registra como un servicio del sistema para garantizar su ejecución automática cada vez que se inicia el sistema mediante la introducción de las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UserMode Protection PNRP Services Machine Remote

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\capbepfn.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Modificar el archivo HOSTS

Modifica los archivos HOSTS del sistema afectado para que los usuarios no puedan acceder a los sitios Web siguientes:

• 127.0.0.1 www.facebook.com
• 127.0.0.1 facebook.com

Robo de información

Su archivo de configuración contiene la siguiente información:

• Other URLs to access
• URL to Intercept
• URL for Redirection

Recopila la siguiente información del sistema afectado:

• CPU Information
• Notification of the affected system's successful C&C server connection

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}ernothing.net/fb/?session={session number}

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}cclub-grup.com