live casino online

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir informaci¨®n.

Recopila informaci¨®n espec¨ªfica del sistema afectado.

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Crea las siguientes copias de s¨ª mismo en el sistema afectado:

• %Application Data%\{random}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• svchost.exe

Crea los archivos de texto siguientes:

• {malware path}\{malware filename}.txt

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• WKJUP2k4

Este malware se inyecta a s¨ª mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

• created svchost.exe

T¨¦cnica de inicio autom¨¢tico

Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalaci¨®n:

HKEY_CURRENT_USER\SOFTWARE\{random}

Agrega las siguientes entradas de registro como parte de la rutina de instalaci¨®n:

HKEY_CURRENT_USER\SOFTWARE\{random}
{random} = "{hex values}"

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• idl - sleep/idle
• run - download and execute arbitrary file
• rem - uninstall itself
• rdl - update copy of injected code in svchost and add encrypted code to registry
• upd - update copy of main malware
• red - check latest malware version

Se conecta a los sitios Web siguientes para enviar y recibir informaci¨®n:

• {BLOCKED}.{BLOCKED}.131.227:8080/{generated value}
• {BLOCKED}.{BLOCKED}.76.204:8080/{generated value}
• {BLOCKED}.{BLOCKED}.228.66:8080/{generated value}
• {BLOCKED}.{BLOCKED}.164.202:8080/{generated value}
• {BLOCKED}.{BLOCKED}.225.254:8080/{generated value}
• {BLOCKED}.{BLOCKED}.82.94:8080/{generated value}
• {BLOCKED}.{BLOCKED}.144.158:8080/{generated value}

Robo de informaci¨®n

Recopila la siguiente informaci¨®n del sistema afectado:

• Malware Version
• Virtualization Information
• Running Debugger/Forensic Tools
• User name
• Processor type
• OS version
• Antivirus product
• Firewall product