An¨¢lisis realizado por : Roland Marco Dela Paz   
 Alias

Backdoor:Win32/Morix.B (Microsoft)

 Plataforma:

Windows 2000, Windows XP, Windows Server 2003

 Riesgo general:
 Potencial de destrucci¨®n:
 Potencial de distribuci¨®n:
 Infecci¨®n divulgada:
Bajo
Medio
High
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de malware
    Backdoor

  • Destructivo?
    No

  • Cifrado
    ³§¨ª

  • In the Wild:
    ³§¨ª

  Resumen y descripci¨®n

Canal de infecci¨®n Eliminado por otro tipo de malware, Descargado de Internet

Puede haberlo descargado otro malware/grayware/spyware desde sitios remotos.

Elimina archivos para impedir la ejecuci¨®n correcta de programas y aplicaciones.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir informaci¨®n.

Recopila determinada informaci¨®n del equipo afectado.

  Detalles t¨¦cnicos

Tama?o del archivo 2,679,941 bytes
Tipo de archivo PE
Residente en memoria ³§¨ª
Fecha de recepci¨®n de las muestras iniciales 25 May 2012
Carga ¨²til Steals information, Connects to URLs/IPs, Terminates processes

Detalles de entrada

Puede haberlo descargado el siguiente malware/grayware/spyware desde sitios remotos:

  • JS_LOADER.WRG

Puede haberse descargado desde los sitios remotos siguientes:

  • http://{BLOCKED}.{BLOCKED}.205.102:8888/cx.exe

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Este malware infiltra el/los siguiente(s) archivo(s):

  • %Program Files%\Common Files\System\seext.dll - also detected as BKDR_MORIX.WRG
  • %Program Files%\Windows NT\appgmts.dll - also detected as BKDR_MORIX.WRG
  • %System%\wbem\seext.dll - also detected as BKDR_MORIX.WRG
  • D:\seext.dll - also detected as BKDR_MORIX.WRG

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

. %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

Este malware infiltra los siguientes archivos no maliciosos:

  • D:\Setup.exe - legitimate 360 Secure Browser component
  • %Program Files%\Common Files\System\SPOOLS.EXE - legitimate 360 Secure Browser component

(Nota: %Program Files% es la carpeta Archivos de programa predeterminada, que suele estar en C:\Archivos de programa).

)

T¨¦cnica de inicio autom¨¢tico

Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
Explorer\Run
@ = "%Program Files%\Common Files\System\SPOOLS.EXE"

Otras modificaciones del sistema

Elimina los archivos siguientes:

  • %System Root%\ntldr.sys

(Nota: %System Root% es la carpeta ra¨ªz, normalmente C:\. Tambi¨¦n es la ubicaci¨®n del sistema operativo).

)

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

  • Log keystrokes
  • Modify system settings
  • Download and execute file(s)
  • Query/modify Terminal Server settings
  • Capture video

Se conecta a los sitios Web siguientes para enviar y recibir informaci¨®n:

  • aaaai.{BLOCKED}p.net

Finalizaci¨®n del proceso

Finaliza procesos o servicios que contienen una de las cadenas siguientes si detecta que se ejecutan en la memoria del sistema afectado:

  • F-Secure
  • ALYac
  • Bit-Defend
  • AVG
  • Avast
  • NOD32

Robo de informaci¨®n

Recopila la siguiente informaci¨®n del equipo afectado:

  • Computer name
  • Processor speed (in MHz)
  • Operating system version
  • Number of processors
  • Total amount of memory (in MB)

  Soluciones

Motor de exploraci¨®n m¨ªnimo 9.200

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.

Step 2

Elimine los archivos de malware que se han introducido/descargado mediante BKDR_MORIX.WRG

    ?JS_LOADER.WRG

Step 3

Reiniciar en modo seguro

[ aprenda m¨¢s ]

Step 4

Buscar y eliminar estos archivos

[ aprenda m¨¢s ]
Puede que algunos de los archivos del componente est¨¦n ocultos. Aseg¨²rese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opci¨®n "M¨¢s opciones avanzadas" para que el resultado de la b¨²squeda incluya todos los archivos y carpetas ocultos.
D:\Setup.exe - legitimate 360 Secure Browser component
%Program Files%\Common Files\System\SPOOLS.EXE
DATA_GENERIC_FILENAME_1
  • En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
  • Una vez haya encontrado el archivo, selecci¨®nelo y, a continuaci¨®n, pulse MAY?S+SUPR para eliminarlo definitivamente.
  • Repita los pasos 2 a 4 con el resto de archivos:
      D:\Setup.exe - legitimate 360 Secure Browser component
      %Program Files%\Common Files\System\SPOOLS.EXE

    • Step 5

    Eliminar este valor del Registro

    [ aprenda m¨¢s ]

    Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.

    • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\Run
      • @ = %Program Files%\Common Files\System\SPOOLS.EXE

    Step 6

    Reinicie en modo normal y explore el equipo con su producto de live casino online para buscar los archivos identificados como BKDR_MORIX.WRG En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.


    Rellene nuestra encuesta!

    Sobre el malware