|
Troj/Infostealer.Banker.E
Infostealer.Banker.E es un troyano con un componente Backdoor, reportado el 18 de Octubre del 2007, que ingresa furtivamente a los sistemas a través de diversos servicios de Internet tales como Telnet y puertos TCP 80 y 8080 (HTTP).Substrae información del sistema, muestra falsos formularios de bancos roba información confidencial y la envía a servidores remotos ubicados en Rusia y Alemania.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP/Vista y Server 2003, escrito en MS Visual C++ con una extensión de 52KB y comprimido con el utilitario UPX (Ultimate Packer for eXecutables):
Al ingresar a un sistema crea un Mutex de nombre "mut" para evitar ejecutarse más de una vez y se copia a la carpeta %System% como:
crea las siguientes sub-llaves:
[HKEY_LOCAL_MACHINE\Software\MRSoft
"1" = "[Carecteres_encriptados]"
[HKEY_LOCAL_MACHINE\Software\MRSoft]
"P" = "[Valores_Hexadecimales]"
Seguidamente registra el archivo
tns1.dll como
un BHO (Browser Helper Object)
para cuyo efecto crea las siguientes sub-llaves:
[HKEY_LOCAL_MACHINE\Software\Classes\CLISD\{775B738B-4540-4b16-A1DA-932C402FD8F7}
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\
Browser Helper Objects\{775B738B-4540-4b16-A1DA-932C402FD8F7}
para ejecutarse la próxima vez que se re-inicie el sistema crea la llave:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"default" =
"%System%\tns1.dll"
Al siguiente inicio del equipo el troyano inserta su código viral en las páginas de las entidades financieras que visite el usuario del sistema infectado y el Internet Explorer muestra un falso formulario de ingreso que solicita ser llenado con información confidencial tal como:
El troyano captura además de la información ingresada:
El archivo tns1.dll ejecuta su componente Backdoor y a través del puerto TCP 80 se conecta a los siguientes servidores remotos:
estableciendo contacto con uno de los archivos:
a donde enviará la información que el troyano almacenó en la carpeta %System% dentro de uno de los siguientes archivos:
El Backdoor del troyano podrá ejecutar uno de las siguientes acciones, en forma remota:
PER ANTIVIRUS® versiones 10.2 y 10.3 con registro de virus al 18 de Octubre del 2007 detectan y eliminan eficientemente este troyano.
