Author: Rhena Inocencio   
 

Adware:Win32/Cydoor (Microsoft), Adware/Cydoor (Panda), Cydoor (Sunbelt)

 PLATFORM:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 OVER ALL RISK RATING:
 REPORTED INFECTION:
 Beeinträchtigung der Systemleistung ::
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Adware

  • Destructiveness:
    No

  • Encrypted:
     

  • In the wild::
    Yes

  OVERVIEW

Llega como componente integrado en paquetes de malware/grayware/spyware. Puede haberlo instalado manualmente un usuario.

  TECHNICAL DETAILS

File size: 1,593,997 bytes
File type: EXE
INITIAL SAMPLES RECEIVED DATE: 07 ноября 2012

Detalles de entrada

Llega como componente integrado en paquetes de malware/grayware/spyware.

Puede haberlo instalado manualmente un usuario.

Instalación

Infiltra los archivos siguientes:

  • %System%\cd_clint.dll
  • %System%\cd_load.exe
  • %System%\AdCache\b_{random number}.GIF

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Crea las carpetas siguientes:

  • %System%\AdCache
  • %System%\AdCache\Temp

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Cydoor\
Adwr_167\Loct_0\Level_4\
Seqn_{random number}
Url = "www.cydoor.com/BestDeals"

HKEY_CURRENT_USER\Software\Cydoor\
Adwr_167\Loct_0\Level_4\
Seqn_{random number}
Url = "http://service.bfast.com/bfast/click?bfmid=1429031&siteid=8854274&bfpage=homelinks"

HKEY_CURRENT_USER\Software\Cydoor\
Adwr_167\Loct_0\Level_4\
Seqn_{random number}
Url = "http://www.commission-junction.com/track/track.dll?AID=1143760&PID=190859&URL=http%3A%2F%2Ffxnetworks%2Ecom%2Fshows%2Foriginals%2Fthesight%2Findexcj%2Ehtml"

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_CLASSES_ROOT\Prod.Cap

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Prod.Cap

HKEY_CURRENT_USER\Software\Cydoor

HKEY_LOCAL_MACHINE\SOFTWARE\Cydoor

HKEY_CURRENT_USER\Software\Cydoor\
Adwr_167

HKEY_CURRENT_USER\Software\Cydoor Services