ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Trojan-PSW.Win32.GOPtrojan

Clase Trojan-PSW
Plataforma Win32
Descripción

Detalles técnicos

Este programa pertenece a la familia de troyanos que roban contraseñas. Este troyano parece estar escrito en chino y está diseñado para robar contraseñas OICQ (¿una clonación china de ICQ?).

Cuando se ejecuta, el troyano se instala en el sistema. Durante la instalación, el troyano se copia en Windows, el sistema de Windows o el directorio TEMP, y se registra en la sección de ejecución automática del registro del sistema. Por ejemplo:

Nombre completo del troyano : WINDOWSSYSTEMwinzipauto.exe
Clave de registro :

HKEY_LOCAL_MACHINESoftwareMicrosoftWindowsCurrentVersionRun WindowsAgent = winzipauto.exe

El nombre del archivo troyano instalado y el directorio de destino son opcionales. Se almacenan en forma cifrada en el archivo troyano al final del archivo. Para robar datos de OICQ, el troyano también suelta un archivo DLL adicional (hooker) con un nombre opcional. Un hacker puede configurar datos opcionales antes de enviar el troyano a la máquina de la víctima o antes de colocarlo en un sitio web.

Hay otras características opcionales de este troyano:

  • muestra un mensaje señuelo (falso) y el mensaje de texto
  • borra un archivo original después de instalarlo en el sistema
  • dirección de correo electrónico a la que se envían los datos robados (predeterminado – goicq@sina.com)
  • servidor smtp para allí los datos que se envían (predeterminado – smtp.sina.com.cn)

El troyano luego se registra en el sistema como una aplicación oculta (servicio). El proceso del Troyano no es visible en la lista de tareas. Al estar activo en el sistema, el troyano envía periódicamente mensajes de correo electrónico a su host (dirección de correo electrónico del hacker).

Se conocen versiones "actualizadas" de este troyano que no se envían por correo y, como resultado, son "gusanos de Internet". Ver {"GOPworm": IWorm.GOPworm} .


Enlace al original