Trojan-DDoS.Win32.Kozog

Detalles técnicos

Se trata de un troyano D32 de Win32 (ataque de denegación de servicio distribuido) que fue distribuido por un pirata informático (o grupo de piratas informáticos) en noviembre de 2000. El troyano se envió como un mensaje de correo electrónico con un archivo adjunto.

El texto del mensaje y el encabezado se ven de la siguiente manera:

————————————————– ——

De: World Travel Agency Ltd. [office4@worldtravel.com]
Enviado: 21 de noviembre de 2000 a las 5:31 p.m.
Para: Todos los turistas y vacacionistas]
Asunto: ¡Celebra el Nuevo Milenio!]

World Travel Agency Ltd.
359 BTC Drive
Apartado de correos 134108
Seattle, WA 98108-23
Estados Unidos

Querido señor, señora

¡Celebra el nuevo milenio! ¡Descubre el paraíso!

Ofrecemos el paquete más atractivo para las celebraciones del Nuevo Milenio que haya visto.
La naturaleza pura, la arquitectura moderna y las altas tecnologías se funden para crear el complejo perfecto.
Primas razonables, corrección, servicios de alta calidad.
Haga clic en el archivo comprimido a continuación para ver nuestra oferta.
Haz envidia a tus vecinos!

Atentamente,

————————————————– ——

El archivo adjunto tiene la intención de mostrarse como un archivo ZIP, pero es un archivo EXE de Windows con el siguiente nombre:

"OFER2002001.ZIP [muchos espacios] .EXE"

Este es el "instalador" de troyanos que afectará a una computadora si se ejecuta. Debido a un truco de "espacios", se mostrará como un archivo .ZIP en muchos casos, lo que podría engañar a un usuario para que lo abra.

Instalación

Cuando se ejecuta el archivo EXE (instalador de troyanos), extrae de sí dos archivos ejecutables más y los copia al director del sistema de Windows con los siguientes nombres:

MRE.DLL
SOUNDV.EXE

En Win9x y WinNT, estos archivos se registran en las secciones de ejecución automática de diferentes maneras: bajo WinNT, el troyano registra un archivo SOUNDV.EXE en el registro del sistema:

SOFTWAREMicrosoftWindowsCurrentVersionRun soundv.exe

En Win9x, el archivo DLL se registra en el archivo SYSTEM.INI en la siguiente sección [inicio]:

drivers = mre.dll

El troyano muestra el siguiente mensaje de error falso:

Error
Una DLL requerida no existe.

(el error de gramática se deja tal como está en el código troyano).

SOUNDV.EXE es el troyano DoS en sí mismo. El MRE.DLL es un pequeño programa que simplemente ejecuta SOUNDV.EXE en cada ejecución. Como resultado, tanto en Win9x como en WinNT, se activará el componente SOUNDV.EXE.

Ataque de DOS

Cuando se ejecuta este archivo (en el siguiente reinicio de Windows), se mantendrá activo como una aplicación oculta (servicio), luego habilita la opción de marcado automático en la configuración de Internet y luego realiza un ataque DoS en el servidor "kozirog.netissat .red".