BKDR_LODORAT.A

Este malware no tiene ninguna rutina de propagación.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %User Temp%\IXP000.TMP\TMP4351$.TMP - deleted afterwards
• %AppDataLocal%\CSIDL_X - deleted afterwards
• %AppDataLocal%\CSIDL_
• %User Temp%\IXP000.TMP\M.ex_ - deleted afterwards
• %Application Data%\{A8844b0b-CA06-CB5E-D0E5-7B08749934CC}\eknr.ex_ <- hidden copy of eknr.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Infiltra y ejecuta los archivos siguientes:

• %Application Data%\{A8844b0b-CA06-CB5E-D0E5-7B08749934CC}\eknr.exe <- also detected as BKDR_LODORAT.A
• %User Temp%\IXP000.TMP\M.exe <- copy of eknr.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\{A8844b0b-CA06-CB5E-D0E5-7B08749934CC}
• %User Temp%\IXP000.TMP

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
eknr = "C:\Users\dyituser_732\AppData\Roaming\{A8844B0B-CA06-CB5E-D0E5-7B08749934CC}\eknr.exe"

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• %User Startup%\system.pif <- copy of eknr.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Menú Inicio\Programas\Inicio y en C:\Documents and Settings\{nombre de usuario}\Menú Inicio\Programas\Inicio).

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
M

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
eknr

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
wextract_cleanup0 = "rundll32.exe %System%\advpack.dll,DelNodeRunDLL32 "%User Temp%\IXP000.TMP\""

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Manage Windows
  • List all active windows
  • Control active windows
• Manage Applications
  • List all installed applications
  • Uninstall application on the list
• Manage files
  • Create
  • Delete
  • Copy
  • Rename
  • Set Attributes
• Download/Upload arbitrary files
• Execute arbitrary files
• Perform Remote Shell Commands
• Monitor System Information (CPU Usage, etc)
• List Active Processes
• Execute/Terminate Arbitrary Processes
• Activate keylogger (Online/Offline)
• Stream Desktop/Webcam
• Send and Receive Messages
• Manage Server
  • Get Server Information
  • Remove Server
  • Restart Server
  • Rename Server
• Miscellaneous Commands
  • Open/Close CD Drive
  • Hide/Show Icons
  • Hide/Show Taskbar
  • Lock/Unlock Mouse
  • Hide/Show Start
  • Turn Monitor On/Off
  • Swap Mouse Buttons
  • Shutdown/Restart/Logoff Machine
  • Manipulate Control Panel
  • Print arbitrary files
  • Get data from ClipBoard
  • Manipulate IE Settings

A fecha de redacción de este documento no es posible acceder a los servidores mencionados.