KillRDLL.A
PeligrosidadDañoPropagación

Efectos 

KillRDLL.A realiza las siguientes acciones:

• Cada vez que el usuario accede a un directorio, crea una copia de sí mismo con el icono de una carpeta de Windows y oculta la extensión para que el usuario piense que se trata de una carpeta.
• Si el usuario accede a un subdirectorio, también creará otra copia de sí mismo camuflada en una carpeta.
• La carpeta Favorites que se ve en la imagen, es en realidad una copia del troyano, camuflada como si fuera una carpeta de Windows:
  
  
• Estos son algunos de los nombres que utiliza para copiarse, entre otros:
  Angelina Jolie
  Clips
  Documents
  Favorites
  Flash Games
  Games
  My Documents
  My Folder
  Picture
  Video
  WallPapers
• Además, cuando es ejecutado, abre la página web de un buscador que falsea los resultados:
  
  

Metodo de Infección 

KillRDLL.A crea una copia de sí mismo con el nombre con el que el archivo haya sido ejecutado en el directorio de sistema de Windows.

Además, crea el archivo RUNDLL32.EXE en los siguientes directorios:

• en la carpeta dllcache del directorio de sistema de Windows.
• en la carpeta LastGood\system32 en el directorio de Windows.

KillRDLL.A crea la siguiente entrada en el Registro de Windows:

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
  %nombre con el que ha sido ejecutado% = %sysdir%\%nombre con el que ha sido ejecutado%.exe
  donde %sysdir% es el directorio de sistema de Windows.
  Mediante esta entrada, KillRDLL.A consigue ejecutarse cada vez que Windows se inicia.

KillRDLL.A modifica la siguiente entrada del Registro de Windows, para ocultar su presencia y dificultar su detección:

• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
  HideFileExt = 00, 00, 00, 00
  Cambia esta entrada por:
  HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
  HideFileExt = 01, 00, 00, 00
  Mediante esta modificación, oculta la extensión de los archivos.

Método de Propagación 

KillRDLL.A no se propaga automáticamente por sus propios medios, sino que precisa de la intervención de un usuario atacante para su propagación. Los medios empleados son variados, e incluyen, entre otros, disquetes, CD-ROMs, mensajes de correo electrónico con archivos adjuntos, descargas de Internet, transferencia de archivos a través de FTP, canales IRC, redes de intercambio de archivos punto a punto (P2P), etc.

Otros Detalles  

KillRDLL.A tiene un tamaño de 97280 Bytes y está comprimido mediante UPX.