Clase de padre: TrojWare
Los troyanos son programas maliciosos que realizan acciones que no están autorizadas por el usuario: borran, bloquean, modifican o copian datos e interrumpen el rendimiento de las computadoras o las redes de computadoras. A diferencia de los virus y las lombrices, las amenazas que entran en esta categoría no pueden hacer copias de sí mismas ni autorreplicarse. Los troyanos se clasifican de acuerdo con el tipo de acción que realizan en una computadora infectada.Clase: Trojan-Downloader
Los programas clasificados como Trojan-Downloader descargan e instalan nuevas versiones de programas maliciosos, incluidos troyanos y AdWare, en las computadoras de las víctimas. Una vez descargados de Internet, los programas se inician o se incluyen en una lista de programas que se ejecutarán automáticamente cuando se inicie el sistema operativo. La información sobre los nombres y las ubicaciones de los programas que se descargan se encuentran en el código troyano, o se descargan del troyano desde un recurso de Internet (generalmente una página web). Este tipo de programa malicioso se utiliza con frecuencia en la infección inicial de visitantes de sitios web que contienen exploits.Más información
Plataforma: Win32
Win32 es una API en sistemas operativos basados en Windows NT (Windows XP, Windows 7, etc.) que admite la ejecución de aplicaciones de 32 bits. Una de las plataformas de programación más extendidas en el mundo.Descripción
El troyano garantiza que Explorer.exe no pueda mostrar los archivos ocultos modificando los siguientes parámetros clave de registro del sistema:
"Oculto" = "0"
"ShowSuperHidden" = "0"
El troyano también garantiza que Explorer.exe no puede mostrar las extensiones de archivos estableciendo los siguientes parámetros clave de registro del sistema:
"HideFileExt" = "1"
Para evitar que estos parámetros se reviertan, el troyano desactiva las "Opciones de carpeta" en Explorer.exe al establecer el siguiente parámetro de clave de registro del sistema:
"NoFolderOptions" = "1"
El troyano luego crea una carpeta oculta llamada "psador18.dll" en el directorio del sistema de Windows:
El archivo contiene las siguientes direcciones de correo electrónico:
El troyano también extrae un rootkit llamado "psagor18.sys" de su cuerpo. Este archivo se colocará en el directorio de trabajo del troyano. Este rootkit incluye funciones que ocultan la presencia de los archivos "psador18.dll" y "AHTOMSYS19.exe". También otorga al troyano los privilegios de sistema más altos, lo que hace que sea imposible eliminar el archivo troyano o terminar procesos de troyano.
Cuando el sistema se apaga, este archivo se eliminará, pero se volverá a crear cuando se reinicie el sistema.
El troyano rastrea la apariencia de las ventanas con los siguientes títulos:
Сканер NOD32 требованию по - [Профиль центра управления - Локально] по Сканер NOD32 требованию - [Профиль контекстного меню] NOD32 - Предупреждение Пpeдупpeждeниe Редактор конфиг урации NOD32 - [Sin título] Антивирус Касперского personal 0- выполняется проверка ... Карантин Настройка обновления Настройка карантина и резервного хранилища Descripción general de AVP.MessageDialog AVP.MainWindow AVP.Product_Notification AVP.SettingsWindow AVP.ReportWindow Agnitum Outpost Firewall - configuration.cfg Настройка системы Редактор реестра RegEdit_RegEdit
Si el troyano detecta tales ventanas, se cerrarán automáticamente.
El troyano también busca dispositivos flash. Si detecta alguno de estos dispositivos, el troyano copiará su cuerpo como "CDburn.exe" y creará un archivo llamado "autorun.inf" que contiene un enlace al cuerpo del troyano. Esto garantiza que el archivo troyano se iniciará automáticamente cada vez que se conecte el dispositivo.
El troyano también recolecta direcciones de correo electrónico de la máquina víctima y les envía un mensaje de correo electrónico. El correo electrónico tiene una línea de asunto vacía y los siguientes contenidos:
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com