PE_SALITY.RL-O

Canal de infecci��n Descargado de Internet, Eliminado por otro tipo de malware

Infiltra copias de s�� mismo en todas las unidades extra��bles conectadas a un sistema afectado. Infiltra un archivo AUTORUN.INF para que ejecute autom��ticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Tama?o del archivo 103,140 bytes

Tipo de archivo EXE

Residente en memoria No

Fecha de recepci��n de las muestras iniciales 07 de septiembre de 2010

Carga ��til Deletes files, Terminates processes

��Բ��ٲ��

Infiltra los archivos siguientes:

%Windows%\drivers\{random file name}.sys - detected as RTKT_SALITY.RL

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

Crea las siguientes copias de s�� mismo en el sistema afectado:

%Windows%\winlogon.exe

(Nota: %Windows% es la carpeta de Windows, que suele estar en C:\Windows o C:\WINNT).

)

T��cnica de inicio autom��tico

Agrega las siguientes entradas de registro para permitir su ejecuci��n autom��tica cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
winlogon.exe = "%Windows%\winlogon.exe"

Registra el componente infiltrado como servicio del sistema para garantizar su ejecuci��n autom��tica cada vez que arranque el sistema. Para ello, crea las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\amsint32
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\amsint32
Start = "3"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\amsint32
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\amsint32
DisplayName = "amsint32"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\amsint32
ImagePath = "\??\%Windows%\drivers\{random file name}.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\amsint32\Enum
0 = "Root\LEGACY_AMSINT32\0000"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\amsint32\Enum
Count = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\amsint32\Enum
NextInstance = "1"

Registra el componente infiltrado como servicio del sistema para garantizar su ejecuci��n autom��tica cada vez que arranque el sistema. Para ello, crea las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\amsint32

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalaci��n:

HKEY_CURRENT_USER\Software\Afukx

Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = "1"

HKEY_CURRENT_USER\Software\Afukx
w{number}_{number} = "{hex value}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusOverride = "1"

Modifica las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

(Note: The default value data of the said registry entry is 1.)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"