Trojan.Win32.BKClient

Detalhes técnicos

Este Trojan é projetado para roubar senhas de usuários. É um arquivo EXE do Windows PE. São 57.821 bytes de tamanho. É embalado usando UPX. O arquivo descompactado tem aproximadamente 73 KB de tamanho.

Instalação

Ao iniciar, o Trojan extrai os seguintes arquivos de seu corpo:

• % System% Bk_client.htm – 9.370 bytes de tamanho;
• % System% CONNECT.htm – 7,468 bytes de tamanho;
• % System% ATOMIC.GIF – 10.240 bytes de tamanho.

Uma vez que o Trojan tenha extraído o% System% Bk_client.htm do seu corpo, o próprio Trojan será lançado.

O cavalo de Tróia também adiciona o seguinte parâmetro ao registro do sistema:

Isso garante que cada vez que o sistema operacional for carregado, o Internet Explorer será iniciado, abrindo% System% Bk_client.htm.

Carga útil

Este programa é projetado para hackear um jogo russo chamado 'Boitsovskii klub' (Clube da Luta). No entanto, esse é um programa falso, e o Trojan realmente executará as seguintes ações:

• Quando iniciado, o cavalo de Tróia exibe a seguinte janela:

  

• Quando o usuário clica no botão 'Podkluchit'sya' ('Connect'), o Trojan envia os dados inseridos nos campos 'Login' e 'Password' por email para o usuário mal-intencionado remoto em **** et777 @ rambler. ru . O cavalo de Tróia usa o seguinte script para enviar e-mail:

   http://world-market.com/cgi-bin/mailto.pl 

  Depois que o email é enviado, o navegador carrega uma página do% System% CONNECT.htm em uma janela pop-up:

  

  Essa janela informa ao usuário que a conexão não foi bem-sucedida e instrui o usuário a repetir o processo de conexão da etapa um.

Instruções de remoção

Se o seu computador não tiver um antivírus atualizado ou não tiver uma solução antivírus, siga as instruções abaixo para excluir o programa mal-intencionado:

1. Exclua os seguintes arquivos:

    % System% Bk_client.htm
   % System% CONNECT.htm
   % System% ATOMIC.GIF 

2. Exclua o seguinte parâmetro de chave do Registro do sistema:
   [HKLMSOFTWAREMicrosoftWindowsCurrentVersionRun]
   "Bk_client.htm" = "% System% Bk_client.htm"
3. Atualize seus bancos de dados de antivírus e execute uma verificação completa do computador ( baixe uma versão de avaliação do Kaspersky Anti-Virus).