Kaspersky Threats

Clase

Plataforma

Descripción

Detalles técnicos

Esta es una contraseña y el programa troyano que roba información de WebMoney con la capacidad de descargar sus "actualizaciones" de los sitios web de Internet y reemplazarse con sus nuevas versiones. El troyano se implementó en paquetes de juegos gratuitos y se distribuyó de esta manera en mayo de 2001.

Debido a que el troyano puede "actualizarse" a sí mismo de los sitios web de Internet, la información a continuación puede no ser del todo correcta para las versiones troyanas aún desconocidas.

Instalación

Cuando se ejecuta el troyano, se copia en el directorio del sistema de Windows con el nombre TASKSVR32.EXE y se registra en la clave de ejecución automática del registro:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task Manager = tasksvr32.exe

Si se produce un error al crear esa clave (el usuario actual no tiene acceso a las claves HKLM), el troyano se registra en la clave HKCU:

HKCUSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task Manager = tasksvr32.exe

El troyano luego crea el archivo DLL-helper COOLX.DLL en el directorio de sistema de Windows. El archivo troyano original (desde el cual se inició el troyano) se elimina.

El troyano también crea más claves de registro y escribe valores hexadecimales allí:

HKCUSoftwareMicrosoftDirectX
DRMInstallFocus =% hex valie%; estas cuatro claves son
DRMInstallPlace =% hex valie%; hora del sistema cuando troyano
DRMUpdateFocus =% hex valie%; se instala
DRMUpdatePlace =% hex valie%; al sistema
DRMVersion =% hex valie%; versión troyana

El troyano se queda en la memoria de Windows como un proceso de servicio oculto y está activo hasta que se reinicie Windows.

Información robada

El troyano envía a su autor la siguiente información de una computadora infectada:

Nombre de la computadora
Nombre de usuario
RegisteredOwner y RegisteredOrganization strings
Información de hardware instalada
Recursos de red con modo de acceso
dirección IP
Información de RAS, contraseñas en caché
otros inicios de sesión de acceso a Internet y contraseñas
Información de usuario de ICQ
Archivos de información y datos de WebMoney

Actualización

Dependiendo de varias condiciones, el troyano obtiene archivos de sitios de Internet, los descarga en el directorio temporal de Windows con el nombre RTTY32.EXE y los genera. Estos archivos son las próximas versiones de Troya y pueden tener una funcionalidad mejorada.

Las versiones conocidas de troyanos descargan archivos de las siguientes páginas:

sfavp.chat.ru/update
widpage.chat.ru/update

Otro

Algunas versiones conocidas también:

sobrescribe el archivo C: AUTOEXEC.BAT con un programa troyano "formato C:".

ejecuta Internet Explorer y abre una de las siguientes páginas:

http://vrs.ru
http://ebooks.vov.ru
http://3w.ozonebooks.com

ejecutar un ataque DoS en http://www.ibm.com

Enlace al original

Descubra las estadísticas de las amenazas que se propagan en su región

Clase	Trojan-PSW
Plataforma	Win32
Descripción	Detalles técnicos Esta es una contraseña y el programa troyano que roba información de WebMoney con la capacidad de descargar sus "actualizaciones" de los sitios web de Internet y reemplazarse con sus nuevas versiones. El troyano se implementó en paquetes de juegos gratuitos y se distribuyó de esta manera en mayo de 2001. Debido a que el troyano puede "actualizarse" a sí mismo de los sitios web de Internet, la información a continuación puede no ser del todo correcta para las versiones troyanas aún desconocidas. Instalación Cuando se ejecuta el troyano, se copia en el directorio del sistema de Windows con el nombre TASKSVR32.EXE y se registra en la clave de ejecución automática del registro: HKLMSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task Manager = tasksvr32.exe Si se produce un error al crear esa clave (el usuario actual no tiene acceso a las claves HKLM), el troyano se registra en la clave HKCU: HKCUSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task Manager = tasksvr32.exe El troyano luego crea el archivo DLL-helper COOLX.DLL en el directorio de sistema de Windows. El archivo troyano original (desde el cual se inició el troyano) se elimina. El troyano también crea más claves de registro y escribe valores hexadecimales allí: HKCUSoftwareMicrosoftDirectX DRMInstallFocus =% hex valie%; estas cuatro claves son DRMInstallPlace =% hex valie%; hora del sistema cuando troyano DRMUpdateFocus =% hex valie%; se instala DRMUpdatePlace =% hex valie%; al sistema DRMVersion =% hex valie%; versión troyana El troyano se queda en la memoria de Windows como un proceso de servicio oculto y está activo hasta que se reinicie Windows. Información robada El troyano envía a su autor la siguiente información de una computadora infectada: Nombre de la computadora Nombre de usuario RegisteredOwner y RegisteredOrganization strings Información de hardware instalada Recursos de red con modo de acceso dirección IP Información de RAS, contraseñas en caché otros inicios de sesión de acceso a Internet y contraseñas Información de usuario de ICQ Archivos de información y datos de WebMoney Actualización Dependiendo de varias condiciones, el troyano obtiene archivos de sitios de Internet, los descarga en el directorio temporal de Windows con el nombre RTTY32.EXE y los genera. Estos archivos son las próximas versiones de Troya y pueden tener una funcionalidad mejorada. Las versiones conocidas de troyanos descargan archivos de las siguientes páginas: sfavp.chat.ru/update widpage.chat.ru/update Otro Algunas versiones conocidas también: sobrescribe el archivo C: AUTOEXEC.BAT con un programa troyano "formato C:". ejecuta Internet Explorer y abre una de las siguientes páginas: http://vrs.ru http://ebooks.vov.ru http://3w.ozonebooks.com ejecutar un ataque DoS en http://www.ibm.com
	Enlace al original
	Descubra las estadísticas de las amenazas que se propagan en su región

Trojan-PSW.Win32.Widget

Detalles técnicos

Instalación

Información robada

Actualización

Otro