Trojan-PSW.Win32.GOPtrojan

Detalhes técnicos

Este programa pertence à família de cavalos de Tróia que bloqueiam senhas. Este Trojan parece ser escrito em chinês e foi projetado para roubar senhas OICQ (um clone chinês do ICQ?).

Quando executado, o Trojan se instala no sistema. Durante a instalação, o Trojan se copia para o Windows, o sistema Windows ou o diretório TEMP e se registra na seção de execução automática do registro do sistema. Por exemplo:

Nome completo do Trojan : WINDOWSSYSTEMwinzipauto.exe
Chave do Registro :

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun WindowsAgent = winzipauto.exe

O nome do arquivo do Trojan instalado e o diretório de destino são opcionais. Eles são armazenados de forma criptografada no arquivo de Trojan no final do arquivo. Para roubar dados OICQ, o Trojan também descarta um arquivo DLL adicional (hooker) com um nome opcional. Um hacker pode configurar dados opcionais antes de enviar o Trojan para a máquina da vítima ou antes de colocá-lo em um site.

Existem outros recursos opcionais deste Trojan:

• exibe uma mensagem falsa (falsa) e o texto da mensagem
• exclui um arquivo original após a instalação no sistema
• endereço de e-mail para os dados roubados sendo enviados (padrão – goicq@sina.com)
• servidor smtp para lá os dados sendo enviados (padrão – smtp.sina.com.cn)

O Trojan então se registra no sistema como uma aplicação oculta (serviço). O processo do cavalo de Tróia não é visível na lista de tarefas. Sendo ativo no sistema, o Trojan envia periodicamente mensagens de e-mail ao seu host (endereço de e-mail do hacker).

Existem versões "atualizadas" deste Trojan que não são enviadas por email e são "worms da Internet" como resultado. Veja {"GOPworm": IWorm.GOPworm} .