Worm.Win32.IPPEDO.AB

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecución correcta de programas y aplicaciones. Elimina entradas de registro para causar el funcionamiento incorrecto de aplicaciones y programas.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System Root%\Google\{Malware Name}
• {Drive}\Skypee\{Malware Name}

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Infiltra los archivos siguientes:

• %System Root%\Google\Windowsupdate.lnk
• %System Root%\Google\GoogleUpdate.lnk

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Agrega los procesos siguientes:

• %comspec /c SystemInfo → when executed in Windows 7 or Windows XP

Crea las carpetas siguientes:

• %System Root%\Google
• {Drive}\Skypee

(Nota: %System Root% es la carpeta raíz, normalmente C:\. También es la ubicación del sistema operativo).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• googleupdate

Termina su ejecución cuando encuentra los siguientes procesos en la memoria del sistema afectado:

• combination of the following processes
  • avp.exe, zonealarm.exe, and avguard.exe
  • tcpview.exe, procmon.exe, and nod32kui.exe
  • kavmm.exe, procmon.exe, and fsbwsys.exe
  • vmacthlp.exe, avp.exe, and kavsvc.exe
• VBoxService.exe
• VBoxTray.exe
• guninraik.exe
• SbieSvc.exe
• VMwareTray.exe
• VMwareUser.exe
• VMwareService.exe
• VMwareUser.exe
• FortiTracer.exe
• vmacthlp.exe
• vmtoolsd.exe
• BehaviorDumper.exe
• FakeHTTPServer.exe
• FakeServer.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %System Root%\Google\Windowsupdate.lnk

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Windows Update = %System Root%\Google\Windowsupdate.lnk

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
JavaUpdate = %System Root%\Google\GoogleUpdate.lnk

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeUpdate = %System Root%\Google\GoogleUpdate.lnk

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
NewJavaInstall = %System Root%\Google\{Malware Name}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AdopeFlash = %System Root%\Google\{Malware Name}

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio de Windows para permitir su ejecución automática cada vez que se inicia el sistema:

• Windowsupdate.lnk
• GoogleUpdate.lnk

Otras modificaciones del sistema

Elimina los archivos siguientes:

• googleupdate.vbs

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ShowSuperHidden = “0”

(Note: The default value data of the said registry entry is The default value data of the said registry entry is {User Preference}.)

Elimina las siguientes entradas de registro:

HKEY_CLASSES_ROOT\lnkfile
IsShortcut =

Propagación

Este malware crea la siguiente carpeta en todas las unidades físicas y extraíbles:

• {Drive}\Skypee

Robo de información

Recopila los siguientes datos:

• Malware ID
• Computer Home Drive
• Computer Name
• Username
• OS Version
• OS Architecture
• Webcam Info("Yes" or "No")
• Malware Version
• Installed AV software
• Active Window Title

Otros detalles

Hace lo siguiente:

• It terminates itself if system information contains the following strings:
  • Bochs
  • innotek
  • VMware
• It terminates itself if the following folders are present:
  • C:\CWSandbox
  • C:\python26
  • C:\cuckoo
• It terminates itself if the malware is executed in the following directories:
  • C:\virus
  • C:\
• It terminates itself if malware name meets the following conditions:
  • contains "artifact" string
  • contains "sample" string
  • Malware Filename does not contain "."
  • Malware Filename length exceeds 35
  • Malware Filename starts with 7 or more numbers
• It terminates itself if the following process is not present:
  • explorer.exe
• Drops copy of the files and folders in malware path to the following folder:
  • {Drive}\Skypee
• It creates the following shortcut (.LNK) files in removable drives that points to its copy:
  • My Games
  • My Pictuers
  • My Videos
  • Hot
  • Downloads
  • Movies
  • Skypee\Skypee
• It also creates shortcut (.LNK) files using folder names as its filename in folders in all of the drives that points to its copy.