live casino online

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

Elimina archivos para impedir la ejecuci¨®n correcta de programas y aplicaciones.

Descarga un archivo desde un determinado localizador uniforme de recursos (URL) y le cambia el nombre posteriormente antes de almacenarlo en el sistema afectado. Despu¨¦s ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Este malware se elimina tras la ejecuci¨®n.

Detalles de entrada

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Agrega los procesos siguientes:

• %User Startup%\{renamed malware}.exe
• %System%\cmd.exe /C choice /C Y /N /D Y /T 3 & Del {malware filename}
• %System%\vssadmin.exe delete shadows /all /quiet
• %System%\notepad.exe %Desktop%\HELP_ME_RECOVER_MY_FILES.txt
• %User Temp%\{random}.exe m=psexec -i={host ip address} -d={target ip address} -f=%User Startup%\{randomly picked name}.exe -e=%User Temp%\{random}.exe

(Nota: %User Startup% es la carpeta Inicio del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}\Men¨² Inicio\Programas\Inicio, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Men¨² Inicio\Programas\Inicio, en el caso de Windows 2003(32-bit), XP y 2000(32-bit) en C:\Documents and Settings\{nombre de usuario}\Men¨² Inicio\Programas\Inicio y en en el caso de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup).

T¨¦cnica de inicio autom¨¢tico

Este malware infiltra el/los archivo(s) siguiente(s) en la carpeta de inicio del usuario de Windows para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:

• {malware name}.exe renamed with any of the following names:
  • lsass.exe
  • svchst.exe
  • crcss.exe
  • chrome32.exe
  • firefox.exe
  • calc.exe
  • mysqld.exe
  • dllhst.exe
  • opera32.exe
  • memop.exe
  • spoolcv.exe
  • ctfmom.exe
  • SkypeApp.exe

Otras modificaciones del sistema

Elimina los archivos siguientes:

• %User Temp%\{random}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000(32-bit), XP y Server 2003(32-bit) suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp y en el case de Windows Vista, 7, 8, 8.1, 2008(64-bit), 2012(64-bit) y 10(64-bit) en C:\Users\{nombre de usuario}\AppData\Local\Temp).

Rutina de descarga

Accede a los siguientes sitios Web para descargar archivos:

• https://hakbit.{BLOCKED}hostapp.com/013.jpg ¡ú %User Temp%\wallpaper.bmp
  However, as of this writing, the said site is inaccessible

Descarga archivos desde los siguientes localizadores uniformes de recursos (URL) y les cambia el nombre posteriormente antes de almacenarlos en el sistema afectado:

• https://raw.{BLOCKED}sercontent.com/anthemtotheego/SharpExec/master/CompiledBinaries/SharpExec_{XX}.exe ¡ú %User Temp%\{random}.exe
  where {XX} can be 32 or 64 depending on the OS architecture.

Despu¨¦s ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Otros detalles

Este malware se elimina tras la ejecuci¨®n.