WORM_PALEVO.JB

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Abre determinados puertos para acceder a las redes compartidas. Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado. Se aprovecha de las vulnerabilidades de software para propagarse por las redes.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. However, as of this writing, the said sites are inaccessible.

Detalles de entrada

Llega tras conectar las unidades extraíbles afectadas a un sistema.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Windows%\system\lsass.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Este malware infiltra el/los siguiente(s) archivo(s):

• %System%\drivers\sysdrv32.sys - detected as RTKT_TCPAGENT.W

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• x3Ddfqjif9ij3re238KASx

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
ilass = "%Windows%\system\lsass.exe"

Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
Start = "3"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
ImagePath = "\??\%System%\drivers\sysdrv32.sys"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
DisplayName = "Play Port I/O Driver"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32
Group = "SST wanport drivers"

Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\sysdrv32

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
lsass
(Default) = "Service"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
lsass
(Default) = "Service"

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
lsass

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
lsass

Propagación

Abre los puertos siguientes para acceder a las redes compartidas:

• 445

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {Removable Drive Letter}:\KEY-INSTALLER.EXE

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Se aprovecha de las vulnerabilidades de software siguientes para propagarse por las redes:

• CVE-2008-4250

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• download and execute arbitrary files
• run or terminate applications
• perform remote shell commands

However, as of this writing, the said sites are inaccessible.