Author: Alvin John Nieto   
 PLATFORM:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 OVER ALL RISK RATING:
 DAMAGE POTENTIAL::
 DISTRIBUTION POTENTIAL::
 REPORTED INFECTION:
 INFORMATION EXPOSURE:
Low
Medium
High
Critical

  • Threat Type:
    Backdoor

  • Destructiveness:
    No

  • Encrypted:
    No

  • In the wild::
    Yes

  OVERVIEW

INFECTION CHANNEL: Descargado de Internet, Infecta archivos, Eliminado por otro tipo de malware

Para obtener una visi¨®n integral del comportamiento de este Backdoor, consulte el diagrama de amenazas que se muestra a continuaci¨®n.

  TECHNICAL DETAILS

File size: r¨®?ni si?
File type: XLS
Memory resident: Yes
INITIAL SAMPLES RECEIVED DATE: 08 marca 2014
PAYLOAD: Compromises system security, Downloads files

±õ²Ô²õ³Ù²¹±ô²¹³¦¾±¨®²Ô

Crea las carpetas siguientes:

  • %ApplicationData%\{GUID}

T¨¦cnica de inicio autom¨¢tico

Agrega las siguientes entradas de registro para permitir su ejecuci¨®n autom¨¢tica cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "wscript.exe %ApplicationData%\{GUID}\{GUID}.vbs"

Rutina de puerta trasera

Abre los puertos siguientes:

  • 8123 - Used for Web Proxy (Polipo)
  • 9050 - Used for traffic encryption (TOR)

Publica la siguiente informaci¨®n en su servidor de mando y control (C&C):

  • IP Address
  • Country code
  • Country name
  • Region code
  • Region name
  • City
  • Zipcode
  • Latitude
  • User account privilege
  • OS version
  • OS architecture
  • Domain
  • OS Language
  • Microsoft Office applications
  • Microsoft Office application versions

Rutina de descarga

Guarda los archivos que descarga con los nombres siguientes:

  • %ApplicationData%\{GUID}\{GUID}.zip - contains 'tor.exe' and 'polipo.exe'
  • %ApplicationData%\{GUID}\tor.exe
  • %ApplicationData%\{GUID}\polipo.exe
  • %ApplicationData%\{GUID}\{GUID}.vbs - C&C generated file

Otros detalles

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

  • %ApplicationData%\{GUID}\roaminglog - TOR initialization log

  SOLUTION

Minimum scan engine: 9.700
First VSAPI Pattern File: 10.656.02
First VSAPI Pattern Release Date: 11 marca 2014
VSAPI OPR PATTERN-VERSION: 10.657.00
VSAPI OPR PATTERN DATE: 11 marca 2014

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploraci¨®n, deben comprobar que tienen desactivada la opci¨®n Restaurar sistema para permitir la exploraci¨®n completa del equipo.

Step 2

Reiniciar en modo seguro

[ learnMore ]

Step 3

Eliminar este valor del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podr¨ªa hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe c¨®mo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este antes de modificar el Registro del equipo.

?
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {GUID} = "wscript.exe %ApplicationData%\{GUID}\{GUID}.vbs"

Step 4

Buscar y eliminar estas carpetas

[ learnMore ]
Aseg¨²rese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opci¨®n M¨¢s opciones avanzadas para que el resultado de la b¨²squeda incluya todas las carpetas ocultas.
  • %ApplicationData%\{GUID}\{GUID}.zip
  • %ApplicationData%\{GUID}\tor.exe
  • %ApplicationData%\{GUID}\polipo.exe
  • %ApplicationData%\{GUID}\roaminglog
  • %ApplicationData%\{GUID}\{GUID}.vbs

Step 5

Reinicie en modo normal y explore el equipo con su producto de live casino online para buscar los archivos identificados como X97M_CRIGENT.A En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.

Step 6

Explorar el equipo con su producto de live casino online para eliminar los archivos detectados como X97M_CRIGENT.A En caso de que el producto de live casino online ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no ser¨¢n necesarios m¨¢s pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta para obtener m¨¢s informaci¨®n.


Did this description help? Tell us how we did.