ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Trojan-DDoS.Win32.Kozog

Clase Trojan-DDoS
Plataforma Win32
Descripción

Detalles técnicos

Se trata de un troyano D32 de Win32 (ataque de denegación de servicio distribuido) que fue distribuido por un pirata informático (o grupo de piratas informáticos) en noviembre de 2000. El troyano se envió como un mensaje de correo electrónico con un archivo adjunto.

El texto del mensaje y el encabezado se ven de la siguiente manera:

————————————————– ——

De: World Travel Agency Ltd. [office4@worldtravel.com]
Enviado: 21 de noviembre de 2000 a las 5:31 p.m.
Para: Todos los turistas y vacacionistas]
Asunto: ¡Celebra el Nuevo Milenio!]

World Travel Agency Ltd.
359 BTC Drive
Apartado de correos 134108
Seattle, WA 98108-23
Estados Unidos

Querido señor, señora

¡Celebra el nuevo milenio! ¡Descubre el paraíso!

Ofrecemos el paquete más atractivo para las celebraciones del Nuevo Milenio que haya visto.
La naturaleza pura, la arquitectura moderna y las altas tecnologías se funden para crear el complejo perfecto.
Primas razonables, corrección, servicios de alta calidad.
Haga clic en el archivo comprimido a continuación para ver nuestra oferta.
Haz envidia a tus vecinos!

Atentamente,

————————————————– ——

El archivo adjunto tiene la intención de mostrarse como un archivo ZIP, pero es un archivo EXE de Windows con el siguiente nombre:

"OFER2002001.ZIP [muchos espacios] .EXE"

Este es el "instalador" de troyanos que afectará a una computadora si se ejecuta. Debido a un truco de "espacios", se mostrará como un archivo .ZIP en muchos casos, lo que podría engañar a un usuario para que lo abra.

Instalación

Cuando se ejecuta el archivo EXE (instalador de troyanos), extrae de sí dos archivos ejecutables más y los copia al director del sistema de Windows con los siguientes nombres:

MRE.DLL
SOUNDV.EXE

En Win9x y WinNT, estos archivos se registran en las secciones de ejecución automática de diferentes maneras: bajo WinNT, el troyano registra un archivo SOUNDV.EXE en el registro del sistema:

SOFTWAREMicrosoftWindowsCurrentVersionRun soundv.exe

En Win9x, el archivo DLL se registra en el archivo SYSTEM.INI en la siguiente sección [inicio]:

drivers = mre.dll

El troyano muestra el siguiente mensaje de error falso:

Error
Una DLL requerida no existe.

Una DLL requerida no existe

(el error de gramática se deja tal como está en el código troyano).

SOUNDV.EXE es el troyano DoS en sí mismo. El MRE.DLL es un pequeño programa que simplemente ejecuta SOUNDV.EXE en cada ejecución. Como resultado, tanto en Win9x como en WinNT, se activará el componente SOUNDV.EXE.

Ataque de DOS

Cuando se ejecuta este archivo (en el siguiente reinicio de Windows), se mantendrá activo como una aplicación oculta (servicio), luego habilita la opción de marcado automático en la configuración de Internet y luego realiza un ataque DoS en el servidor "kozirog.netissat .red".


Enlace al original