WORM_PROLACO.EK

Agrega entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema.

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Modifica los archivos HOSTS del sistema afectado. Esto impide el acceso de los usuarios a determinados sitios Web.

Instalación

Infiltra y ejecuta los archivos siguientes:

• %System%\sta-css.exe - TROJ_HILOTI.SMEO
• %System%\sta-cpe.exe - TROJ_FAKEAV.EKA

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %System%\PCSuite.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• PCSuite.exe{random characters}

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Nokia Launch Application = %System%\PCSuite.exe

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Nokia4

HKEY_LOCAL_MACHINE\Software\Nokia4

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
nok01 = {month of execution}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
nok02 = {day of execution}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UACDisableNotify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\PCSuite.exe = %System%\PCSuite.exe:*:Enabled:Explorer

Propagación

Crea las carpetas siguientes en todas las unidades extraíbles:

• [dirve letter]:\RECYCLER
• [dirve letter]:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542

Infiltra una copia de sí mismo en las carpetas siguientes que usan las redes de igual a igual (P2P):

• %User Profile%My Documents\Frostwire\shared
• %Program Files%\icq\shared folder\
• %Program Files%\grokster\my grokster\
• %Program Files%\emule\incoming\
• %Program Files%\morpheus\my shared folder\
• %Program Files%\limewire\shared\
• %Program Files%\tesla\files\
• %Program Files%\winmx\shared\
• %System Root%\Downloads\
• Kazaa Download Directory
• DC++ Download Directory

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Este malware infiltra la(s) siguiente(s) copia(s) de sí mismo en todas las unidades extraíbles:

• [dirve letter]:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542\redmond.exe

Infiltra un archivo AUTORUN.INF para que ejecute automáticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Recopila las direcciones de correo de destino desde los archivos con las siguientes extensiones:

• ·txt
• ·htm
• ·xml
• ·php
• ·asp
• ·dbx
• ·log
• ·nfo
• ·lst
• ·wpd
• ·wps
• ·xls
• ·doc
• ·wab
• ·rtf

Evita enviar mensajes de correo electrónico a direcciones que contienen las cadenas siguientes:

• berkeley
• unix
• bsd
• mit.e
• gnu
• fsf.
• ibm.com
• debian
• kernel
• linux
• fido
• usenet
• iana
• ietf
• rfc-ed
• sendmail
• arin.
• sun.com
• isc.o
• secur
• acketst
• pgp
• apache
• gimp
• tanford.e
• utgers.ed
• mozilla
• firefox
• suse
• redhat
• sourceforge
• slashdot
• samba
• cisco
• syman
• panda
• avira
• f-secure
• sopho
• www.ca.com
• ahnlab
• novirusthanks
• prevx
• drweb
• bitdefender
• clamav
• eset.com
• ikarus
• mcafee
• kaspersky
• virusbuster
• badware
• immunityinc.com
• avg.comsysinternals
• borlan
• inpris
• lavasoft
• jgsoft
• ghisler.com
• wireshark
• winpcap
• acdnet.com
• acdsystems.com
• acd-group
• bpsoft.com
• buyrar.com
• bluewin.ch
• quebecor.com
• alcatel-lucent.com
• ssh.com
• winamp
• nullsoft.org
• example
• mydomai
• nodomai
• ruslis
• virus
• .gov
• gov.
• .mil
• messagelabs
• honeynet
• honeypot
• security
• idefense
• qualys
• root
• info
• samples
• postmaster
• webmaster
• noone
• nobody
• nothing
• anyone
• someone
• your
• you
• me
• bugs
• rating
• site
• contact
• soft
• no
• somebody
• privacy
• service
• help
• not
• submit
• sales
• ca
• gold-certs
• the.bat
• page
• admin
• icrosoft
• support
• ntivi
• unix
• bsd
• linux
• listserv
• websense
• certific
• security
• spam
• sp
• spam
• www
• secur
• abuse

Capacidades de rootkit

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• aswupdsv
• avast! Antivirus
• avast! Mail Scanner
• avast! Web Scanner
• avg8wd
• avg8emc
• antivirservice
• AntiVirSchedulerService
• XCOMM
• LIVESRV
• bdss
• scan
• VSSERV
• Arrakis3
• CaCCProvSP
• CSIScanner
• Emproxy
• McAfee HackerWatch Service
• MCNASVC
• MPFSERVICE
• MPS9
• mcpromg
• mcproxy
• mcshield
• mcredirector
• mcODS
• mcmscsvc
• msk80service
• mcsysmon
• mcmisupdmgr
• Ehttpsrv
• ekrn
• sdauxservice
• sdcodeservice
• ThreatFire
• sbamsvc
• FPAVServer
• RSCCenter
• RSRavMon
• K7EmlPxy
• K7RTScan
• K7TSMngr
• navapsvc
• npfmntor
• nscservice
• liveupdate
• Norton AntiVirus
• LiveUpdate Notice Service
• SAVScan
• Symantec Core
• ccEvtMgr
• sndsrvc
• ccprox
• ccpwdsvc
• ccsetmgr
• spbbcsvc
• MBAMService
• Savservice
• Savadminservice
• Sophos Autoupdate Service
• Sophos Agent
• Sophos Certification Manager
• Sophos Management Service
• Sophos Message Router
• PAVSVR
• PAVFNSVR
• GWMSRV
• PSHOST
• PSIMSVC
• PAVPRSRV
• PSKSVCRETAIL
• PANDA SOFTWARE CONTROLLER
• TPSRV
• WinDefend
• wscsvc
• ERSvc
• WerSvc
• AVP

Finaliza los procesos siguientes si detecta que se ejecutan en la memoria del sistema afectado:

• mcvsshld.exe
• McProxy.exe
• mps.exe
• mcmscsvc.exe
• mcpromgr.exe
• McNASvc.exe
• mcagent.exe
• Mcshield.exe
• HWAPI.exe
• RedirSvc.exe
• emproxy.exe
• mcsysmon.exe
• mcods.exe
• MpfSrv.exe
• msksrver.exe
• mskagent.exe
• ccsvchst.exe
• PShost.exe
• TPSRV.exe
• avciman.exe
• APvxdwin.exe
• Pavbckpt.exe
• iface.exe
• PSCtrlS.exe
• PavFnSvr.exe
• prevx.exe
• PavPrSrv.exe
• PsIMSVC.exe
• psksvc.exe
• PAVSRV51.exe
• AVENGINE.exe
• Webproxy.exe
• SrvLoad.exe
• avgnt.exe
• guardgui.exe
• avcenter.exe
• avguard.exe
• avgwdsvc.exe
• avgrsx.exe
• avgtray.exe
• avgemc.exe
• avgcsrvx.exe
• avgui.exe
• xcommsvr.exe
• seccenter.exe
• bdss.exe
• bdagent.exe
• livesrv.exe
• ekrn.exe
• egui.exe
• sbamtray.exe
• sbamui.exe
• K7TSMngr.exe
• K7RTScan.exe
• K7EmlPxy.exe
• K7SysTry.exe
• K7TSecurity.exe
• drweb32w.exe
• drwebupw.exe
• spidergui.exe
• avp.exe
• avp.exe
• mbam.exe
• pccnt.exe
• NTRtScan.exe
• TmListen.exe
• FPWin.exe
• FprotTray.exe
• FPAVServer.exe
• SavService.exe
• SavMain.exe
• AlMon.exe
• SavAdminService.exe
• ALSvc.exe
• SbeConsole.exe
• Rav.exe
• RavTask.exe
• RavMon.exe
• RavmonD.exe
• RavStub.exe
• CCenter.exe
• isafe.exe
• vsserv.exe
• vetmsg.exe
• ashdisp.exe
• ashserv.exe

Rutina de infiltración

Este malware define los atributos del/de los archivo(s) infiltrado(s) de la siguiente manera:

• Hidden
• Read-Only
• System

Modificar el archivo HOSTS

Modifica los archivos HOSTS del sistema afectado para que los usuarios no puedan acceder a los sitios Web siguientes:

• eset.com
• f-secure.com
• sophos.com
• virustotal.com
• hispasec.com
• mcafee.com
• mast.mcafee.com
• networkassociates.com
• download.mcafee.com
• dispatch.mcafee.com
• nai.com
• us.mcafee.com
• symantec.com
• securityresponse.symantec.com
• liveupdate.symantecliveupdate.com
• symantec.com
• liveupdate.symantec.com
• customer.symantec.com
• sophos.com
• viruslist.com
• avp.com
• kaspersky.com
• kaspersky-labs.com
• ca.com
• my-etrust.com
• trendmicro.com
• free-av.com
• authentium.com
• avg.com
• ewido.com
• grisoft.com
• global.ahnlab.com
• avast.com
• bitdefender.com
• quickheal.com
• aladdin.com
• ikarus-software.at
• pandasecurity.com
• virus-buster.com

Otros detalles

No mostró rutinas de puerta trasera durante la prueba.