Clase de padre: TrojWare
Los troyanos son programas maliciosos que realizan acciones que no están autorizadas por el usuario: borran, bloquean, modifican o copian datos e interrumpen el rendimiento de las computadoras o las redes de computadoras. A diferencia de los virus y las lombrices, las amenazas que entran en esta categoría no pueden hacer copias de sí mismas ni autorreplicarse. Los troyanos se clasifican de acuerdo con el tipo de acción que realizan en una computadora infectada.Clase: Trojan-PSW
Los programas Trojan-PSW están diseñados para robar información de la cuenta de usuario, como inicios de sesión y contraseñas de computadoras infectadas. PSW es un acrónimo de Password Stealing Ware. Cuando se lanza, un troyano PSW busca archivos del sistema que almacenan una gama de datos confidenciales o el registro. Si se encuentran dichos datos, el troyano lo envía a su "maestro". El correo electrónico, FTP, la web (incluidos los datos de una solicitud) u otros métodos pueden usarse para transitar los datos robados. Algunos de estos troyanos también roban información de registro para ciertos programas de software.Más información
Plataforma: Win32
Win32 es una API en sistemas operativos basados en Windows NT (Windows XP, Windows 7, etc.) que admite la ejecución de aplicaciones de 32 bits. Una de las plataformas de programación más extendidas en el mundo.Descripción
Detalles técnicos
Esta es una contraseña y el programa troyano que roba información de WebMoney con la capacidad de descargar sus "actualizaciones" de los sitios web de Internet y reemplazarse con sus nuevas versiones. El troyano se implementó en paquetes de juegos gratuitos y se distribuyó de esta manera en mayo de 2001.
Debido a que el troyano puede "actualizarse" a sí mismo de los sitios web de Internet, la información a continuación puede no ser del todo correcta para las versiones troyanas aún desconocidas.
Instalación
Cuando se ejecuta el troyano, se copia en el directorio del sistema de Windows con el nombre TASKSVR32.EXE y se registra en la clave de ejecución automática del registro:
HKLMSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task Manager = tasksvr32.exe
Si se produce un error al crear esa clave (el usuario actual no tiene acceso a las claves HKLM), el troyano se registra en la clave HKCU:
HKCUSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task Manager = tasksvr32.exe
El troyano luego crea el archivo DLL-helper COOLX.DLL en el directorio de sistema de Windows. El archivo troyano original (desde el cual se inició el troyano) se elimina.
El troyano también crea más claves de registro y escribe valores hexadecimales allí:
HKCUSoftwareMicrosoftDirectX
DRMInstallFocus =% hex valie%; estas cuatro claves son
DRMInstallPlace =% hex valie%; hora del sistema cuando troyano
DRMUpdateFocus =% hex valie%; se instala
DRMUpdatePlace =% hex valie%; al sistema
DRMVersion =% hex valie%; versión troyana
El troyano se queda en la memoria de Windows como un proceso de servicio oculto y está activo hasta que se reinicie Windows.
Información robada
El troyano envía a su autor la siguiente información de una computadora infectada:
Nombre de la computadora
Nombre de usuario
RegisteredOwner y RegisteredOrganization strings
Información de hardware instalada
Recursos de red con modo de acceso
dirección IP
Información de RAS, contraseñas en caché
otros inicios de sesión de acceso a Internet y contraseñas
Información de usuario de ICQ
Archivos de información y datos de WebMoney
Actualización
Dependiendo de varias condiciones, el troyano obtiene archivos de sitios de Internet, los descarga en el directorio temporal de Windows con el nombre RTTY32.EXE y los genera. Estos archivos son las próximas versiones de Troya y pueden tener una funcionalidad mejorada.
Las versiones conocidas de troyanos descargan archivos de las siguientes páginas:
sfavp.chat.ru/update
widpage.chat.ru/update
Otro
Algunas versiones conocidas también:
http://vrs.ru
http://ebooks.vov.ru
http://3w.ozonebooks.com
Leer más
Conozca las estadísticas de las vulnerabilidades que se propagan en su región statistics.securelist.com