PE_RAMNIT.H

Este malware infecta anexando su código a los archivos host de destino.

Instalación

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• KyUffThOkYwRRtgPP

Técnica de inicio automático

Infiltra los archivos siguientes:

• %Program Files%\Microsoft\DesktopLayer.exe - detected as PE_RAMNIT.H-O
• %{CurrentDirectory}%\{malware filename}Srv.exe - detected as PE_RAMNIT.H
• %Program Files%\INTERNET EXPLORER\dmlconf.dat - non-malicious component

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %system%\userinit.exe,,%Program Files%\microsoft\desktoplayer.exe

(Note: The default value data of the said registry entry is %system%\userinit.exe,.)

Infección de archivo

Infecta los siguientes tipos de archivo:

• dll
• exe

Este malware infecta anexando su código a los archivos host de destino.

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• It opens a hidden instance of iexplore.exe and connects to remote sites to download and execute possible malicious file(s).
• Injects a malicious VBScript to HTML files.
• Propagates via removable drives.