WORM_SDBOT.FEY

Llega tras acceder a redes compartidas afectadas.

Supervisa las entradas de registro de inicio automático y las vuelve a crear en caso de que se eliminen. Esta acción permite que el malware se ejecute continuamente tras reiniciar el sistema afectado.

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Ejecuta determinados comandos que recibe de forma remota desde un usuario malicioso. De esta forma pone en gran peligro el equipo afectado y la información del mismo.

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados. No obstante, de este modo no se podrá acceder a los sitios mencionados.

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.

Detalles de entrada

Llega tras acceder a redes compartidas afectadas.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\{9-random-letter filename}.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• sh0w-m3-wh4t-y0u-g0t-l1l-m4m4-6.1

Este malware inyecta subprocesos en el/los siguiente(s) proceso(s) normal(es):

• %Windows%\explorer.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

Finaliza la ejecución de la copia que ejecutó inicialmente y ejecuta en su lugar la copia que ha creado.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Drawing System = "%System%\{9-random-letter}.exe"

Supervisa las entradas de registro de inicio automático y las vuelve a crear cuando se eliminan.

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\{9-random-letter filename}.exe = "%System%\{9-random-letter filename}.exe:*:Enabled:Drawing System"

Propagación

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {removable drive letter except A and B}:\{9-random-letter filename}.exe

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Rutina de puerta trasera

Se une a los canales de IRC siguientes:

• #xwar

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• create random nickname for itself
• terminate/kill IRC application
• Logout
• Get IRC version
• Change IRC server
• Start/Stop scanning of threads, IP addresses in the network, open ports in specific IP address
• Reconnect to IRC server
• Check status
• Reboot system
• List threads
• List internet information
• List system information
• Get uptime of itself
• Flush DNS
• Ask for the current IP of itself
• Perform UDP Flooding
• Terminate/Kill Bot
• Download files
• Use command prompt

A fecha de redacción de este documento no es posible acceder a los servidores mencionados.

Rutina de descarga

Este malware descarga una copia actualizada de sí mismo desde el/los siguiente(s) sitio(s) Web:

• http://www.{BLOCKED}te.com/backup/mitm.exe

Guarda los archivos que descarga con los nombres siguientes:

• C:\mitm.exe

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

No obstante, de este modo no se podrá acceder a los sitios mencionados.

Otros detalles

Se finaliza a sí misma si detecta que está siendo ejecutada en un entorno virtual.