Clase de padre: TrojWare
Los troyanos son programas maliciosos que realizan acciones que no están autorizadas por el usuario: borran, bloquean, modifican o copian datos e interrumpen el rendimiento de las computadoras o las redes de computadoras. A diferencia de los virus y las lombrices, las amenazas que entran en esta categoría no pueden hacer copias de sí mismas ni autorreplicarse. Los troyanos se clasifican de acuerdo con el tipo de acción que realizan en una computadora infectada.Clase: Trojan-PSW
Los programas Trojan-PSW están diseñados para robar información de la cuenta de usuario, como inicios de sesión y contraseñas de computadoras infectadas. PSW es un acrónimo de Password Stealing Ware. Cuando se lanza, un troyano PSW busca archivos del sistema que almacenan una gama de datos confidenciales o el registro. Si se encuentran dichos datos, el troyano lo envía a su "maestro". El correo electrónico, FTP, la web (incluidos los datos de una solicitud) u otros métodos pueden usarse para transitar los datos robados. Algunos de estos troyanos también roban información de registro para ciertos programas de software.Más información
Plataforma: Win32
Win32 es una API en sistemas operativos basados en Windows NT (Windows XP, Windows 7, etc.) que admite la ejecución de aplicaciones de 32 bits. Una de las plataformas de programación más extendidas en el mundo.Descripción
Detalles técnicos
Este programa pertenece a la familia de troyanos que roban contraseñas. Este troyano parece estar escrito en chino y está diseñado para robar contraseñas OICQ (¿una clonación china de ICQ?).
Cuando se ejecuta, el troyano se instala en el sistema. Durante la instalación, el troyano se copia en Windows, el sistema de Windows o el directorio TEMP, y se registra en la sección de ejecución automática del registro del sistema. Por ejemplo:
Nombre completo del troyano : WINDOWSSYSTEMwinzipauto.exe
Clave de registro : HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun WindowsAgent = winzipauto.exe
El nombre del archivo troyano instalado y el directorio de destino son opcionales. Se almacenan en forma cifrada en el archivo troyano al final del archivo. Para robar datos de OICQ, el troyano también suelta un archivo DLL adicional (hooker) con un nombre opcional. Un hacker puede configurar datos opcionales antes de enviar el troyano a la máquina de la víctima o antes de colocarlo en un sitio web.
Hay otras características opcionales de este troyano:
- muestra un mensaje señuelo (falso) y el mensaje de texto
- borra un archivo original después de instalarlo en el sistema
- dirección de correo electrónico a la que se envían los datos robados (predeterminado - goicq@sina.com)
- servidor smtp para allí los datos que se envían (predeterminado - smtp.sina.com.cn)
El troyano luego se registra en el sistema como una aplicación oculta (servicio). El proceso del Troyano no es visible en la lista de tareas. Al estar activo en el sistema, el troyano envía periódicamente mensajes de correo electrónico a su host (dirección de correo electrónico del hacker).
Se conocen versiones "actualizadas" de este troyano que no se envían por correo y, como resultado, son "gusanos de Internet". Ver {"GOPworm": IWorm.GOPworm} .
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com