NFLOG
NfLog
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
Threat Type:
Backdoor
Destructiveness:
No
Encrypted:
In the wild::
Yes
OVERVIEW
Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado.
Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.
Este malware se elimina tras la ejecución.
TECHNICAL DETAILS
Instalación
Infiltra los archivos siguientes:
- %Temp%\$NtUninstallKB942388$ - contains stolen information
- %Temp%\NfIpv6.ocx - also detected as BKDR_NFLOG
- %Temp%\checkup.exe - also detected as BKDR_NFLOG
- %User Temp%\word.doc - non-malicious DOC file
- %User Temp%\±ØÒª.pdf - non-malicious PDF file
- %Temp%\YahooCache.ini
(Nota: %Temp% es la carpeta de archivos temporales de Windows, que suele estar en C:\Windows\Temp o C:\WINNT\Temp).
. %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).)Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:
- svchost.exe
Técnica de inicio automático
Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Type = "20"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Start = "2"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ErrorControl = "1"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
DisplayName = "IPv6 Stack Local Support"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
ObjectName = "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
Description = "Net address translation for IPv6 Protocol."
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Parameters
ServiceDll = "{malware path and filename}"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Security
Security = "{hex values}"
Otras modificaciones del sistema
Agrega las siguientes entradas de registro como parte de la rutina de instalación:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Parameters
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\IPRIP\Security
Agrega las siguientes entradas de registro:
HKEY_USERS\.DEFAULT\Software\
Microsoft\Clock
HID = "{hex values}"
Modifica las siguientes entradas de registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths
Directory = "NetworkService's %Temporary Internet Files%\Content.IE5"
(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5.)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path1
CachePath = "NetworkService's %Temporary Internet Files%\Content.IE5\Cache1"
(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache1.)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path2
CachePath = "NetworkService's %Temporary Internet Files%\Content.IE5\Cache2"
(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache2.)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path3
CachePath = "NetworkService's %Temporary Internet Files%\Content.IE5\Cache3"
(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache3.)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Internet Settings\
Cache\Paths\path4
CachePath = "NetworkService's %Temporary Internet Files%\Content.IE5\Cache4"
(Note: The default value data of the said registry entry is %Temporary Internet Files%\Content.IE5\Cache4.)
Rutina de puerta trasera
Ejecuta los comandos siguientes desde un usuario remoto malicioso:
- Download files
- Perform remote shell
- Retrieve system information
- Update self
Publica la siguiente información en su servidor de mando y control (C&C):
- IP configuration
- Network statistics
- Running processes
- Running services
- System information
Rutina de descarga
Accede a los siguientes sitios Web para descargar archivos:
- http://{BLOCKED}t.{BLOCKED}025.dns345.cn/norton/Nfile.asp
- http://{BLOCKED}194.{BLOCKED}n.com/norton/Nfile.asp
- http://www.{BLOCKED}eaderupdating.com/norton/Nfile.asp
Guarda los archivos que descarga con los nombres siguientes:
- %Temp%\MSMAPI.OCX - also detected as BKDR_NFLOG
(Nota: %Temp% es la carpeta de archivos temporales de Windows, que suele estar en C:\Windows\Temp o C:\WINNT\Temp).
)Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.
Otros detalles
Requiere la existencia de los archivos siguientes para ejecutarse correctamente:
- %Temp%\YahooCache.ini
(Nota: %Temp% es la carpeta de archivos temporales de Windows, que suele estar en C:\Windows\Temp o C:\WINNT\Temp).
)Este malware se elimina tras la ejecución.