Trojan-PSW.Win32.GOPtrojan

Detalles técnicos

Este programa pertenece a la familia de troyanos que roban contraseñas. Este troyano parece estar escrito en chino y está diseñado para robar contraseñas OICQ (¿una clonación china de ICQ?).

Cuando se ejecuta, el troyano se instala en el sistema. Durante la instalación, el troyano se copia en Windows, el sistema de Windows o el directorio TEMP, y se registra en la sección de ejecución automática del registro del sistema. Por ejemplo:

Nombre completo del troyano : WINDOWSSYSTEMwinzipauto.exe
Clave de registro :

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun WindowsAgent = winzipauto.exe

El nombre del archivo troyano instalado y el directorio de destino son opcionales. Se almacenan en forma cifrada en el archivo troyano al final del archivo. Para robar datos de OICQ, el troyano también suelta un archivo DLL adicional (hooker) con un nombre opcional. Un hacker puede configurar datos opcionales antes de enviar el troyano a la máquina de la víctima o antes de colocarlo en un sitio web.

Hay otras características opcionales de este troyano:

• muestra un mensaje señuelo (falso) y el mensaje de texto
• borra un archivo original después de instalarlo en el sistema
• dirección de correo electrónico a la que se envían los datos robados (predeterminado – goicq@sina.com)
• servidor smtp para allí los datos que se envían (predeterminado – smtp.sina.com.cn)

El troyano luego se registra en el sistema como una aplicación oculta (servicio). El proceso del Troyano no es visible en la lista de tareas. Al estar activo en el sistema, el troyano envía periódicamente mensajes de correo electrónico a su host (dirección de correo electrónico del hacker).

Se conocen versiones "actualizadas" de este troyano que no se envían por correo y, como resultado, son "gusanos de Internet". Ver {"GOPworm": IWorm.GOPworm} .