Remote Password Reventator SE malware

Description

from the doc: " <<< REMOTE PASSWORD REVENTATOR (SE) >>> Edici¾n Especial para ProAgent By Sr. Sombrero Con esta maravilla, reciÚn salida del infierno, podreÝs descifrar passwords con toda la potencia del "Advanced Archive Password Recovery" en forma remota y/o silenciosa. CARACTER═STICAS: 1) Instalaci¾n Remota. 2) Ejecuci¾n silenciosa. 3) AutoStart con Windows -------------------------------------------------------- [[[ INSTALACION ]]] 1) Subimos el RPR SE.EXE al disco de la vÝctima y lo EJECUTAMOS. AUTOM┴TICAMENTE: a- Instalarß el "Advanced Archive Password Recovery" en la carpeta C:WINDOWSarchprb- Pondrß una copia del ProAgent (proagent122.rar) en esa carpeta. 2) Editamos CONFIG.AXR con el block de notas y lo subimos a C:WINDOWSarchpr 3) Ejecutamos C:WINDOWSarchprStart.bat Cuando ejecuten RPR SE.EXE y Start.bat es preferible usar la opci¾n RUN-HIDE de su troyano favorito, de lo contrario aparecerß una ventanita durante una fracci¾n de segundo (casi no se ve). El arranque automßtico con Windows (despuÚs de un reset) es 100percent silencioso. -------------------------------------------------------- [[[ CONFIG.AXR ]]] Es el archivo que lee "Advanced Archive Password Recovery" cuando arranca y tambiÚn donde hace el autosalvado. Las lÝneas que hay que editar son: [passlen] MinLen= MaxLen= StartFrom= EndAt= AquÝ es donde se coloca la longitud de la contrase±a y el rango a buscar. Por Ejemplo: [passlen] MinLen=5 MaxLen=5 StartFrom=ZAAAA EndAt=cAAAA Cuando el programa va haciendo autosalvado (cada 7 minutos) la lÝnea StartFrom= va cambiando, de esta manera si se apaga la PC cuando se reinicie arrancarß donde habÝa quedado. -------------------------------------------------------- [[[ VER ESTADO Y RESULTADOS DE LA BUSQUEDA ]]] Simplemente bajan el CONFIG.AXR de la vÝctima y ven la lÝnea StartFrom= TambiÚn pueden ver el archivo ARCHPR.LOG La password o el aviso de que no se encontr¾ saldrß en ARCHPR.LOG asÝ: 19/09/03 02:29:14 p.m. - Performing autobackup... 19/09/03 02:29:51 p.m. - Password successfully recovered ! 19/09/03 02:29:51 p.m. - 'GAA' is a valid password for this file 19/09/03 02:29:51 p.m. - ARCHPR shutdown Otro archivo que se crea al terminar la b·squeda es cmdline stats.txt. Acß tambiÚn sale la password o el aviso de que no se encontr¾. -------------------------------------------------------- [[[ EMPEZAR UN NUEVO RANGO ]]] Terminado un rango, si queremos seguir con otro, deberemos: 1) Matar el proceso archpr 2) Subir un nuevo CONFIG.AXR 3) Borrar archpr.log (Esto es opcional, sirve para que el log mantenga un tama±o razonable) 4) Ejecutar C:WINDOWSarchprStart.bat Esto es todo, saludos. Sr. Sombrero"