Clase de padre: TrojWare
Los troyanos son programas maliciosos que realizan acciones que no están autorizadas por el usuario: borran, bloquean, modifican o copian datos e interrumpen el rendimiento de las computadoras o las redes de computadoras. A diferencia de los virus y las lombrices, las amenazas que entran en esta categoría no pueden hacer copias de sí mismas ni autorreplicarse. Los troyanos se clasifican de acuerdo con el tipo de acción que realizan en una computadora infectada.Clase: Trojan-DDoS
Este tipo de programa malicioso está diseñado para realizar un ataque DoS desde una computadora infectada en una dirección predefinida. Esencialmente, un ataque DoS implica el envío de numerosas solicitudes a la máquina de la víctima; esto lleva a una denegación de servicio si la computadora bajo ataque no cuenta con recursos suficientes para procesar todas las solicitudes entrantes. Para llevar a cabo un ataque DoS exitoso, los usuarios maliciosos a menudo infectan varias computadoras con este tipo de troyano de antemano (por ejemplo, como parte de un correo masivo spam). Como resultado, todas las computadoras infectadas atacarán la máquina víctima.Más información
Plataforma: Win32
Win32 es una API en sistemas operativos basados en Windows NT (Windows XP, Windows 7, etc.) que admite la ejecución de aplicaciones de 32 bits. Una de las plataformas de programación más extendidas en el mundo.Descripción
Detalles técnicos
Se trata de un troyano D32 de Win32 (ataque de denegación de servicio distribuido) que fue distribuido por un pirata informático (o grupo de piratas informáticos) en noviembre de 2000. El troyano se envió como un mensaje de correo electrónico con un archivo adjunto.
El texto del mensaje y el encabezado se ven de la siguiente manera:
-------------------------------------------------- ------De: World Travel Agency Ltd. [office4@worldtravel.com]-------------------------------------------------- ------
Enviado: 21 de noviembre de 2000 a las 5:31 p.m.
Para: Todos los turistas y vacacionistas]
Asunto: ¡Celebra el Nuevo Milenio!]
World Travel Agency Ltd.
359 BTC Drive
Apartado de correos 134108
Seattle, WA 98108-23
Estados Unidos
Querido señor, señora
¡Celebra el nuevo milenio! ¡Descubre el paraíso!
Ofrecemos el paquete más atractivo para las celebraciones del Nuevo Milenio que haya visto.
La naturaleza pura, la arquitectura moderna y las altas tecnologías se funden para crear el complejo perfecto.
Primas razonables, corrección, servicios de alta calidad.
Haga clic en el archivo comprimido a continuación para ver nuestra oferta.
Haz envidia a tus vecinos!
Atentamente,
El archivo adjunto tiene la intención de mostrarse como un archivo ZIP, pero es un archivo EXE de Windows con el siguiente nombre:
"OFER2002001.ZIP [muchos espacios] .EXE"
Este es el "instalador" de troyanos que afectará a una computadora si se ejecuta. Debido a un truco de "espacios", se mostrará como un archivo .ZIP en muchos casos, lo que podría engañar a un usuario para que lo abra.
Instalación
Cuando se ejecuta el archivo EXE (instalador de troyanos), extrae de sí dos archivos ejecutables más y los copia al director del sistema de Windows con los siguientes nombres:
MRE.DLL
SOUNDV.EXE
En Win9x y WinNT, estos archivos se registran en las secciones de ejecución automática de diferentes maneras: bajo WinNT, el troyano registra un archivo SOUNDV.EXE en el registro del sistema:
SOFTWAREMicrosoftWindowsCurrentVersionRun soundv.exe
En Win9x, el archivo DLL se registra en el archivo SYSTEM.INI en la siguiente sección [inicio]:
drivers = mre.dll
El troyano muestra el siguiente mensaje de error falso:
Error
Una DLL requerida no existe.
(el error de gramática se deja tal como está en el código troyano).
SOUNDV.EXE es el troyano DoS en sí mismo. El MRE.DLL es un pequeño programa que simplemente ejecuta SOUNDV.EXE en cada ejecución. Como resultado, tanto en Win9x como en WinNT, se activará el componente SOUNDV.EXE.
Ataque de DOS
Cuando se ejecuta este archivo (en el siguiente reinicio de Windows), se mantendrá activo como una aplicación oculta (servicio), luego habilita la opción de marcado automático en la configuración de Internet y luego realiza un ataque DoS en el servidor "kozirog.netissat .red".
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com