BKDR_MECIV.AF
TrojanDropper:Win32/Datcaen.A (Microsoft), Trojan.Win32.Zapchast.aejv (Kaspersky), Trojan.Gen.2 (Symantec), Generic Dropper!1yb (NAI), Gen:Trojan.Heur.hqW@IXhqgihi (FSecure), Trojan-Dropper.Win32.XoredBinary.b (v) (Sunbelt), TR/Spy.114688.531 (Antivir), W32/Dropper.6!Generic (Authentium), Gen:Trojan.Heur.hqW@IXhqgihi (Bitdefender), W32/Pucedoor.A (Fortinet), W32/Dropper.6!Generic (Fprot), Trojan.Win32.Spy (Ikarus), probably a variant of Win32/Pucedoor.A trojan (NOD32), Generic (Panda), Backdoor.Wmdm (VBA32)
Windows 2000, Windows XP, Windows Server 2003
Tipo de malware
Backdoor
Destructivo?
No
Cifrado
³§¨ª
In the Wild:
³§¨ª
Resumen y descripci¨®n
Para obtener una visi¨®n integral del comportamiento de este Backdoor, consulte el diagrama de amenazas que se muestra a continuaci¨®n.
Puede haberlo infiltrado otro malware.
Se conecta a un sitio Web para enviar y recibir informaci¨®n.
Este malware se elimina tras la ejecuci¨®n.
Detalles t¨¦cnicos
Detalles de entrada
Puede haberlo infiltrado el malware siguiente:
- TROJ_ARTIEF.JN
±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô
Este malware infiltra el/los siguiente(s) archivo(s):
- %System%\datac1en.dll - detected as BKDR_MECIV.AF
(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).
)Su componente DLL se inyecta en el(los) siguiente(s) proceso(s):
- svchost.exe
T¨¦cnica de inicio autom¨¢tico
Elimina las siguientes claves de registro asociadas a aplicaciones antivirus y de seguridad:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WmdmPmSp
ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"
Otras modificaciones del sistema
Agrega las siguientes entradas de registro como parte de la rutina de instalaci¨®n:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WmdmPmSp\Parameters
ServiceDll = "%SystemRoot%\System32\datac1en.dll"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\WmdmPmSp\Security
Security = "{Random Numbers}"
Rutina de puerta trasera
Se conecta a los sitios Web siguientes para enviar y recibir informaci¨®n:
- http://home.{BLOCKED}ibus.com
Publica la siguiente informaci¨®n en su servidor de mando y control (C&C):
- Hostname
- MAC address
- IP address
- Operating System
- File name of the malicious executable
- Campaign name
Otros detalles
Este malware se elimina tras la ejecuci¨®n.
Soluciones
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.
Step 3
Reiniciar en modo seguro y eliminar esta clave del Registro
Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\WmdmPmSp
- ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"
- ImagePath = "%SystemRoot%\System32\svchost.exe -k netsvcs"
Step 4
Reinicie en modo normal y explore el equipo con su producto de live casino online para buscar los archivos identificados como BKDR_MECIV.AF En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.
Rellene nuestra encuesta!