ESTE SERVICIO PUEDE CONTENER TRADUCCIONES DE GOOGLE. GOOGLE NIEGA CUALQUIER RESPONSABILIDAD RELACIONADA CON LAS TRADUCCIONES, EXPRESA O IMPLÍCITA, INCLUYENDO CUALQUIER RESPONSABILIDAD ACERCA DE LA PRECISIÓN, LA CONFIABILIDAD Y CUALQUIER RESPONSABILIDAD IMPLÍCITA DE COMERCIABILIDAD, IDONEIDAD PARA UN PROPÓSITO EN PARTICULAR Y DE NO INFRACCIÓN.

Por su comodidad, se ha traducido el sitio web de Kaspersky Lab utilizando un software de traducción de Google Translate. Se hicieron unos esfuerzos razonables para proporcionar una traducción precisa; no obstante, las traducciones automáticas no son perfectas y no hay ninguna intención de sustituir el trabajo de los traductores. Se proporcionan estas traducciones como un servicio para los usuarios del sitio web de Kaspersky Lab y se han publicado tal "como es". No hay ninguna garantía, expresa o implícita, acerca de la precisión, la confiabilidad o exactitud de cualquier traducción desde el inglés a cualquier otro idioma. La traducción de algunos contenidos (imágenes, videos, Flash, etc) podrían no ser totalmente fiel debido a las limitaciones del software de traducción.

Trojan-PSW.Win32.Widget

Clase Trojan-PSW
Plataforma Win32
Descripción

Detalles técnicos

Esta es una contraseña y el programa troyano que roba información de WebMoney con la capacidad de descargar sus "actualizaciones" de los sitios web de Internet y reemplazarse con sus nuevas versiones. El troyano se implementó en paquetes de juegos gratuitos y se distribuyó de esta manera en mayo de 2001.

Debido a que el troyano puede "actualizarse" a sí mismo de los sitios web de Internet, la información a continuación puede no ser del todo correcta para las versiones troyanas aún desconocidas.

Instalación

Cuando se ejecuta el troyano, se copia en el directorio del sistema de Windows con el nombre TASKSVR32.EXE y se registra en la clave de ejecución automática del registro:

HKLMSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task Manager = tasksvr32.exe

Si se produce un error al crear esa clave (el usuario actual no tiene acceso a las claves HKLM), el troyano se registra en la clave HKCU:

HKCUSoftwareMicrosoftWindowsCurrentVersionRun Microsoft Task Manager = tasksvr32.exe

El troyano luego crea el archivo DLL-helper COOLX.DLL en el directorio de sistema de Windows. El archivo troyano original (desde el cual se inició el troyano) se elimina.

El troyano también crea más claves de registro y escribe valores hexadecimales allí:

HKCUSoftwareMicrosoftDirectX
DRMInstallFocus =% hex valie%; estas cuatro claves son
DRMInstallPlace =% hex valie%; hora del sistema cuando troyano
DRMUpdateFocus =% hex valie%; se instala
DRMUpdatePlace =% hex valie%; al sistema
DRMVersion =% hex valie%; versión troyana

El troyano se queda en la memoria de Windows como un proceso de servicio oculto y está activo hasta que se reinicie Windows.

Información robada

El troyano envía a su autor la siguiente información de una computadora infectada:

Nombre de la computadora
Nombre de usuario
RegisteredOwner y RegisteredOrganization strings
Información de hardware instalada
Recursos de red con modo de acceso
dirección IP
Información de RAS, contraseñas en caché
otros inicios de sesión de acceso a Internet y contraseñas
Información de usuario de ICQ
Archivos de información y datos de WebMoney

Actualización

Dependiendo de varias condiciones, el troyano obtiene archivos de sitios de Internet, los descarga en el directorio temporal de Windows con el nombre RTTY32.EXE y los genera. Estos archivos son las próximas versiones de Troya y pueden tener una funcionalidad mejorada.

Las versiones conocidas de troyanos descargan archivos de las siguientes páginas:

sfavp.chat.ru/update
widpage.chat.ru/update

Otro

Algunas versiones conocidas también:

  • sobrescribe el archivo C: AUTOEXEC.BAT con un programa troyano "formato C:".
  • ejecuta Internet Explorer y abre una de las siguientes páginas:

    http://vrs.ru
    http://ebooks.vov.ru
    http://3w.ozonebooks.com

  • ejecutar un ataque DoS en http://www.ibm.com

  • Enlace al original