BKDR_RARSTONE.A

Para obtener una visión integral del comportamiento de este Backdoor, consulte el diagrama de amenazas que se muestra a continuación.

Puede haberlo infiltrado otro malware.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.

Detalles de entrada

Puede haberlo infiltrado el malware siguiente:

• TROJ_ARTIEF.NTZ

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %System%\ymsgr_tray.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Application Data%\profile.dat - blob file containing malware routines

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• iexplore.exe

Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

• iexplore.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Yahoo! = ""%System%\ymsgr_tray.exe" -local"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Get computer name and name of current user
• Retrieve list of local groups where the current user belongs.
• Create autorun registry entries
• Enumerate files and directories
• Get drive information
• Upload files
• Download files
• Execute files
• Download plugin and load into memory
• Enumerate processes
• Enumerate process modules
• Get process information
• Terminate processes
• Get installer properties from Uninstall Registry Key entries
• Manage files and directories (create, delete, modify, rename, search)
• Manage registries (create, delete, modify, search, view)
• Manage services (install, modify, search, start, stop, uninstall, view)
• Get service information
• Manage windows
• Perform remote shell
• Restart system
• Remove self from system
• Update self and configuration
• Enumerate TCP and UDP connection states