|
Troj/Nibu.J
|
Nibu.J es un troyano/backdoor residente en memoria reportado el 05 de Julio del 2005, que ingresa furtivamente a los sistemas a través de cualquier puerto TCP
que se encuentre abierto. Activa un componente Keylogger y roba información que envía por correo a un portal ruso.
Manipula el archivo HOSTS para impedir el acceso a sitios web de sistemas de seguridad. |
Roba información relacionada a cuentas de correo, usuarios y contraseñas de un portal de pagos global y los passwords recuperados por algunos programas especializados, de origen ruso.
Es un PE (Portable Ejecutable) e infecta Windows 95/98/NT/Me/2000/XP, incluyendo los servidores NT/2000/Server 2003, está escrito en MS Visual C++ con una extensión de 27.5 KB y comprimido con el utilitario FSG:
Al ser ingresar a un sistema se copia al directorio %Windir% y a la carpeta %System% con los nombres:
libera además los siguientes archivos:
después de instalarse se reporta a la dirección web http://www.kimartz.biz (ubicada en Rusia) actualmente desactivada por el FBI.
y para ejecutarse la próxima vez que se re-inicie el sistema crea las siguientes llaves de registro:
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"load32" = "%System%\winldra.exe"
[HKEY_CURRENT_USER\Software\SARS]
%System% es la variable C:\Windows\System para Windows 95/98/Me, C:\Winnt\System32 para Windows NT/2000 y C:\Windows\System32 para Windows XP y Windows Server 2003.
%Temp% es la variable C:\Windows\Temp en Windows 95/98/Me, C:\Winnt\Temp en Windows NT\2000 y C:\Document and Settings\[nombre_de _usuario]\Local Settings\Temp en Windows XP/Server 2003.
Al siguiente inicio activa su componente Keylogger que captura las teclas digitadas, cada vez que el sistema se conecta a un sitio en la web que tenga cualquiera de las siguientes cadenas o nombres de dominio:
dominios:
roba además información relacionada a cuentas de correo, usuarios y contraseñas recuperadas por determinados programas:
captura pantallazos del portapapeles (clipboard), almacenando toda esta información en el archivo PRNTC.LOG, y luego hace uso de su propio motor SMTP para enviarla a una dirección de correo cifrada, ubicada en:
modifica el archivo HOSTS para impedir el acceso a las siguientes direcciones:
PER ANTIVIRUS® versión 9.3 con registro de virus al 05 de Julio del 2005 detecta y elimina eficientemente este troyano/backdoor.
