An¨¢lisis realizado por : Kathleen Notario   
 Plataforma:

Windows 2000, Windows XP, Windows Server 2003

 Riesgo general:
 Potencial de destrucci¨®n:
 Potencial de distribuci¨®n:
 Infecci¨®n divulgada:
Bajo
Medio
High
°ä°ù¨ª³Ù¾±³¦´Ç

  • Tipo de malware
    Worm

  • Destructivo?
    No

  • Cifrado
    No

  • In the Wild:
    ³§¨ª

  Resumen y descripci¨®n

Infiltra un archivo AUTORUN.INF para que ejecute autom¨¢ticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

  Detalles t¨¦cnicos

Tama?o del archivo 522,752 bytes
Tipo de archivo EXE
Residente en memoria ³§¨ª
Fecha de recepci¨®n de las muestras iniciales 22 Nov 2011

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Infiltra los archivos siguientes:

  • %User Profile%\Application Data\SystemProc\lsass.exe

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Crea las siguientes copias de s¨ª mismo en el sistema afectado:

  • %System%\HPWuSchde.exe

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

)

T¨¦cnica de inicio autom¨¢tico

Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
HP Software Updater v1.0 = %System%\HPWuSchde.exe

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
hk1 = {month of execution}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer
hk2 = {day of execution}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UACDisableNotify = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\FirewallPolicy\
StandardProfile\AuthorizedApplications\List
%System%\HPWuSchde.exe = %System%\HPWuSchde.exe:*:Enabled:Explorer

Agrega las siguientes claves de registro como parte de la rutina de instalaci¨®n:

HKEY_CURRENT_USER\Software\HP10

HKEY_LOCAL_MACHINE\SOFTWARE\HP10

±Ê°ù´Ç±è²¹²µ²¹³¦¾±¨®²Ô

Crea las carpetas siguientes en todas las unidades extra¨ªbles:

  • {drive letter}:\RECYCLER
  • {drive letter}:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542

Este malware infiltra la(s) siguiente(s) copia(s) de s¨ª mismo en todas las unidades extra¨ªbles:

  • {drive letter}:\RECYCLER\S-1-6-21-2434476521-1645641927-702000330-1542\redmond.exe

Infiltra un archivo AUTORUN.INF para que ejecute autom¨¢ticamente las copias que infiltra cuando un usuario accede a las unidades de un sistema afectado.

Sobre el malware