Trojan-PSW.Win32.CrazyBilets

技術的な詳細

このプログラムは、トロイの木馬を盗むパスワードのファミリーに属します。それは、2002年6月の初めに、narod.ruサーバーのパブリックアクセスWebページから広がっていました。

ウェブページには以下が含まれていました：

 中級試験
 数学のための試験紙と作文のトピック。まだ無料！

Webページにあるファイルは、トロイの木馬インストーラです。実行すると、トロイの木馬プログラムがWindowsディレクトリにドロップされ、偽の検査トピック（ロシア語）が抽出され、作成されます。

トロイの木馬自体は約27Kbの長さのWindows PE EXEファイル（UPXで圧縮され、解凍サイズは約83Kbです）であり、Delphiで書かれています。

実行されると、トロイの木馬は自身をSYSTEM.EXの名前でWindowsディレクトリにコピーし、このファイルをシステムレジストリの自動実行キーに登録します。

 HKLMSoftwareMicrosoftWindowsCurrentVersionRun
   システム=％WindowsDir％System.exe

CrazyBilets Trojanの主な機能は、被害者のマシン上にキャッシュされたWindowsのパスワードを収集し、この情報をSMTPサーバーへの直接接続によって「マスター」に送信することです。