TROJ_BLKMUN.A

Publish Date: 14 de июня de 2014

TrojanProxy:Win32/Potukorp.A (Microsoft); RDN/PWS-Banker!dh (McAfee); Trojan.Gen (Symantec); Trojan-Banker.Win32.Qhost.ach (Kaspersky); Mal/Behav-160 (Sophos); Trojan.Win32.Generic.pak!cobra (Sunbelt); Trojan horse Generic36.QIS (AVG)

PLATFORM:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

OVER ALL RISK RATING:

DAMAGE POTENTIAL::

DISTRIBUTION POTENTIAL::

REPORTED INFECTION:

Low

Medium

High

Critical

Threat Type:
Trojan
Destructiveness:
No
Encrypted:
In the wild::
Yes

OVERVIEW

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones.

TECHNICAL DETAILS

File size: 29,184 bytes

File type: EXE

Memory resident: Yes

INITIAL SAMPLES RECEIVED DATE: 14 de июня de 2014

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

%Program Files%\common files\{malware file name}

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

)

Crea las carpetas siguientes:

%User Temp%\107609
%User Temp%\107609\....
%User Temp%\111656
%User Temp%\111656\....
%User Temp%\111968
%User Temp%\111968\....
%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
koreaautoup = "%Program Files%\common files\{malware file name}"

Otras modificaciones del sistema

Modifica los archivos siguientes:

%System%\drivers\etc\hosts
%Windows%\inf\intl.PNF

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

. %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Elimina los archivos siguientes:

%User Temp%\107609\TemporaryFile\TemporaryFile
%User Temp%\111656\TemporaryFile\TemporaryFile
%Windows%\fonts\msgothic.ttf
%Windows%\fonts\msuigoth.ttf
%Windows%\fonts\MSMINCHO.TTF
%Windows%\fonts\Gulim.ttf
%Windows%\fonts\Gulimche.ttf
%Windows%\fonts\Dotum.ttf
%Windows%\fonts\Batang.ttf
%Windows%\fonts\Gungsuh.ttf
%Windows%\fonts\Simsun.ttf
%Windows%\fonts\nsimsun.ttf
%Windows%\fonts\MingLiU.ttf
%Windows%\fonts\pmingliu.ttf
%System%\kbd101b.dll
%System%\kbd101c.dll
%System%\kbd103.dll
%System%\kbd106.dll
%System%\kbdjpn.dll
%System%\kbdkor.dll

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

. %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Elimina las carpetas siguientes:

%User Temp%\111656\TemporaryFile
%User Temp%\111968\TemporaryFile

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

)

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
DnsCacheEnabled = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
DnsCacheTimeout = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
ServerInfoTimeOut = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Enable = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Size = "a"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
InitHits = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International\CpMRU
Factor = "14"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\International
W2KLpk = "0"

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
Start Page = "http://www.{BLOCKED}r.com"

(Note: The default value data of the said registry entry is http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome.)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"