ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Trojan-Banker.Win32.IKX

Clase Trojan-Banker
Plataforma Win32
Descripción

Detalles técnicos

Es un virus Win32 parásito residente inofensivo y no dañino. Busca los archivos ejecutables de Windows32 PE en el directorio actual y los infecta. El virus funciona tanto con Windows 95/98 como con Windows NT.

Cuando se ejecuta un programa infectado, el virus recibe el control y busca las direcciones API de Windows32. En primer lugar, escanea el código KERNEL y busca la dirección de la función GetProcAddress. Cuando se encuentra esta función, el virus al usar esta dirección obtiene punteros a otras nueve funciones:


CreateFileA, CreateFileMappingA, MapViewOfFile, CloseHandle,
FindFirstFileA, FindNextFileA, FindClose, UnmapViewOfFile, SetEndOfFile
Al usar estas llamadas, el virus busca los archivos y los infecta. Mientras está infectado, el virus incorpora su código en el medio del archivo al final de la primera sección. El virus busca espacio en la imagen virtual del archivo: si hay suficiente espacio libre entre la primera y la segunda sección en la imagen virtual (direcciones en la memoria, no en el archivo del disco; el virus evita superponer secciones al cargar archivos en la memoria), el virus desplaza el resto del archivo en 1024 bytes, escribe su código en esta cueva, modifica la dirección del punto de entrada y corrige los encabezados de sección.

El virus tiene un error que causa una doble infección. A pesar de esto, los archivos infectados funcionan sin ningún problema.

El virus contiene la cadena de texto que le da su nombre:


MurkryIKX


Enlace al original