Clase de padre: TrojWare
Los troyanos son programas maliciosos que realizan acciones que no están autorizadas por el usuario: borran, bloquean, modifican o copian datos e interrumpen el rendimiento de las computadoras o las redes de computadoras. A diferencia de los virus y las lombrices, las amenazas que entran en esta categoría no pueden hacer copias de sí mismas ni autorreplicarse. Los troyanos se clasifican de acuerdo con el tipo de acción que realizan en una computadora infectada.Clase: Trojan-Downloader
Los programas clasificados como Trojan-Downloader descargan e instalan nuevas versiones de programas maliciosos, incluidos troyanos y AdWare, en las computadoras de las víctimas. Una vez descargados de Internet, los programas se inician o se incluyen en una lista de programas que se ejecutarán automáticamente cuando se inicie el sistema operativo. La información sobre los nombres y las ubicaciones de los programas que se descargan se encuentran en el código troyano, o se descargan del troyano desde un recurso de Internet (generalmente una página web). Este tipo de programa malicioso se utiliza con frecuencia en la infección inicial de visitantes de sitios web que contienen exploits.Más información
Plataforma: Win32
Win32 es una API en sistemas operativos basados en Windows NT (Windows XP, Windows 7, etc.) que admite la ejecución de aplicaciones de 32 bits. Una de las plataformas de programación más extendidas en el mundo.Descripción
Detalles técnicos
Este troyano descarga archivos a través de Internet sin el conocimiento o consentimiento del usuario.
Es un archivo EXE de Windows PE. Está escrito en Borland C ++. Tiene los siguientes componentes:
- CLIENT.EXE - 57 344 bytes
- SERVER.EXE - 65 024 bytes
- X.EXE - 4 096 bytes
Carga útil
El programa Trojan (X.EXE) intenta establecer una conexión TCP a 116.116.199.216:62324 (216.216.216.216:55512). Si no se establece una conexión dentro de 30 segundos, el troyano terminará su proceso. Si se establece una conexión, el troyano creará un archivo llamado "anyfile.exe" en el directorio actual, escribirá los datos descargados en este archivo y luego lo iniciará para su ejecución. El troyano dejará de funcionar.
El troyano usa un servidor ZFTP en el puerto 12345 para descargar datos. Cuando se inicia el componente del cliente (CLIENT.EXE), envía una solicitud de banda ancha para verificar el puerto 12345. Si la dirección de la computadora donde está instalado el componente del servidor (SERVER.EXE) se da como un parámetro de línea de comando, entonces una conexión se establecerá en esta máquina en el puerto designado. Los archivos se descargarán del servidor.
Instrucciones de eliminación
- Use el Administrador de tareas para finalizar el proceso del troyano.
- Elimine los archivos troyanos originales (la ubicación dependerá de cómo el programa originalmente penetró en la máquina víctima).
- Actualice sus bases de datos de antivirus y realice un análisis completo de la computadora ( descargue una versión de prueba de Kaspersky Anti-Virus).
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com