Worm.MSIL.XWORM.YXEBVZ

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Registra las pulsaciones de teclas de un usuario para robar información.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\msedge.exe → with HIDDEN and SYSTEM attributes

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega los procesos siguientes:

• powershell.exe -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '{Malware Path}\{Malware Filename}'
• powershell.exe -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess '{Malware Filename}'
• powershell.exe -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%Application Data%\msedge.exe'
• powershell.exe -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'msedge.exe'

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data, en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data y en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming.).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• oXwnhd5ZIRDDutbH

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
msedge = %Application Data%\msedge.exe

Otras modificaciones del sistema

Este malware modifica la(s) siguiente(s) entrada(s)/clave(s) de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = 0

(Note: The default value data of the said registry entry is 1.)

Propagación

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• {Drive Letter}:\DriverInstaller.exe

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• pong - Sends a "pong" string to the C2
• rec - Restarts the application
• CLOSE - Closes the application
• uninstall - Executes the uninstall commands
• update - Executes the uninstall commands and the updated binary
• DW - Executes a powershell script
• FM - Executes a command from the C2 in memory
• LN - Downloads a file from a URL and execute it.
• Urlopen - Opens a URL through a browser
• Urlhide - Creates a HTTP GET request
• PCShutdown - Executes a shutdown command
• PCRestart - Executes a restart command
• PCLogoff - Executes a logoff command
• RunShell - Executes a command
• StartDDos - Initiates DDoS activities
• StopDDos - Terminates DDoS activities
• StartReport - Sends a list of running processes
• StopReport - Terminates sending of running proccesses list
• Xchat - Sends a "Xchat" string and the ID generated using system information
• Hosts - Sends the drivers\etc\host file contents
• Shosts - Modifies the contents of a file
• DDos - Sends a "DDos" string to the C2
• ngrok - Sends an "ngrok" string and the ID generated using system information
• plugin - Decompresses and executes a plugin
• savePlugin - Saves the decoded plugin to a registry then decompresses and executes it
• RemovePlugins - Deletes the registry with plugin data
• OfflineGet - Sends the contents of the keylogger file
• $cap - Sends a screen capture

Se conecta a los sitios Web siguientes para enviar y recibir información:

• using TCP:
  • {BLOCKED}dns.org:1111

Rutina de infiltración

Este malware infiltra el/los siguiente(s) archivo(s), que utiliza para su rutina de captura de teclado:

• %User Temp%\Log.tmp

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Robo de información

Recopila los siguientes datos:

• Username
• OS version and architecture
• Malware Variant ID
• File Creation date
• If executed from a removable drive
• If executed with admin rights
• Webcam availability
• CPU Information
• GPU Information
• RAM Information
• Antivirus Product name

Registra las pulsaciones de teclas de un usuario para robar información.

Otros detalles

Hace lo siguiente:

• It sets the attributes of files found in the Removable Drives to HIDDEN and SYSTEM
• It creates a shortcut for each of the file found in the removable drive, with the following details:
  • Shortcut filename: {Original Filename and Extension}.LNK
  • Target Path: cmd.exe /c start DriverInstaller.exe&start {Original Filename & extension} & exit