BKDR_POISON.AB

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. However, as of this writing, the said sites are inaccessible.

Este malware se elimina tras la ejecución.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Profile%\Application Data\LMKPlayer.exe (for accounts without Admin Rights)
• %System%:LMKPlayer.exe (for accounts with Admin Rights)
• %User Profile%\AppData\Roaming:LMKPlayer.exe (for Windows Vista/Windows 7 only)

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• 2j8sji2q9

Técnica de inicio automático

Crea las siguientes entradas de registro para activar la ejecución automática del componente infiltrado cada vez que arranque el sistema:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AdobeYestr LKPlayer = "%User Profile%\Application Data\LMKPlayer.exe" (for accounts without Admin Rights)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AdobeYestr LKPlayer = "%System%:LMKPlayer.exe" (for accounts with Admin Rights)

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
AdobeYestr LKPlayer = "%User Profile%\AppData\Roaming:LMKPlayer.exe" (for Windows Vista/Windows 7 only)

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Send system information (Lan IP, Wan IP, Computer name, Username, Account Type, OS)
• Send hardware information (CPU speed, Memory)
• Manage Files (Search, Download, Upload, Execute, Rename, Delete)
• Manage Registries (Search, Modify, Delete, Rename, Create)
• Manage Processes (View, Kill, Suspend, Unload Module)
• Manage Services (View, Start, Stop, Edit, Install, Uninstall)
• Manage Devices (View, Enable, Disable, Remove)
• Manage Windows
• Relay server
• View,copy and uninstall applications
• View active ports
• Perform a shell command
• Download and inject remote codes to legitimate processes
• Log keystrokes and active window
• Capture screenshots
• View webcam activity
• Listen to microphone audio
• Update, Uninstall, Restart the malware
• Retrieve cached passwords and hashes

However, as of this writing, the said sites are inaccessible.

Otros detalles

Este malware se elimina tras la ejecución.