----
Una investigación realizada por el Maher Center en Irán identifico un tipo de malware que elimina la información de los discos duros. Al realizar un análisis del funcionamiento se encontró que el proceso de limpieza de los archivos se ejecuta en determinadas fechas del año. Aunque el diseño del mismo es muy sencillo (simples componentes batch ) funciona y limpia el contenido de las unidades del disco duro: D:, E:, F:, G:, H:, I:
Los componentes son:
Código:
GrooveMonitor.exe - f3dd76477e16e26571f8c64a7fd4a9
juboot.exe - fa0b300e671f73b3b0f7f415ccbe9d41
jucheck.exe - c4cd216112cbc5b8c046934843c579f6
SLEEP.EXE - ea7ed6b50a9f7b31caeea372a327bd37
WmiPrv.exe - b7117b5d8281acd56648c9d08fadf630
Al ejecutar el Dropper GrooveMonitor.exe este extrae los componentes juboot.exe y jucheck.exe los cuales están comprimidos con UPX 3.03, al descomprimirlos se encontraron los siguientes scripts:
juboot.exe
Código
sleep for 2 REG add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v jucheck.exe /t REG_SZ /d "%systemroot%\system32\jucheck.exe" /f start "" /D"%systemroot%\system32\" "jucheck.exe"
jucheck.exe
Código
Modificaciones en el registro de Windows
Código:
----------------------------------
Values added:8
----------------------------------
HKU\S-1-5-21-73586283-616249376-1177238915-500\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\{75048700-EF1F-11D0-9888-006097DEACF9}\Count\HRZR_EHACNGU:P:\qbphzragbf\Ongpujvcre\TebbirZbavgbe.rkr: 01 00 00 00 06 00 00 00 F0 B9 E5 23 27 EC CD 01
HKU\S-1-5-21-73586283-616249376-1177238915-500\Software\Microsoft\Windows\CurrentVersion\Run\jucheck.exe: "C:\WINDOWS\system32\jucheck.exe"
HKU\S-1-5-21-73586283-616249376-1177238915-500\Software\Microsoft\Windows\ShellNoRoam\MUICache\@shell32.dll,-31275: "Esta sección muestra el tamaño, tipo de archivo y otra información acerca del elemento seleccionado."
HKU\S-1-5-21-73586283-616249376-1177238915-500\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\documentos\Batchwiper\GrooveMonitor.exe: "GrooveMonitor"
HKU\S-1-5-21-73586283-616249376-1177238915-500\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\WINDOWS\system32\juboot.exe: "Java(TM) Update Checker"
HKU\S-1-5-21-73586283-616249376-1177238915-500\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\Documents and Settings\Administrador\Configuración local\temp\1.tmp\juboot.bat: "juboot"
HKU\S-1-5-21-73586283-616249376-1177238915-500\Software\Microsoft\Windows\ShellNoRoam\MUICache\C:\Documents and Settings\Administrador\Configuración local\temp\4.tmp\jucheck.bat: "jucheck"
HKU\S-1-5-21-73586283-616249376-1177238915-500\Software\WinRAR SFX\C%%WINDOWS%system32%: "C:\WINDOWS\system32\"
Enlaces
http://www.certcc.ir/index.php?name=news&file=article&sid=2293