PSW.Sinowal.FP. Roba información confidencial

[PCMan]

Nombre: PSW.Sinowal.FP
Nombre NOD32: Win32/PSW.Sinowal.FP
Tipo: Caballo de Troya
Alias: Sinowal.FP, Win32/PSW.Sinowal.FP
Fecha: 4/dic/07
Plataforma: Windows 32-bit
Tamaño: 35,025 bytes

Se trata de un "keylogger" (capturador de la salida del teclado), del tipo PSW (abreviatura de password o contraseña), capaz de obtener información del usuario y del equipo infectado. Ello incluye contraseñas, nombres de usuario, y cualquier dato confidencial que la víctima haya ingresado en cualquier página o documento a través del teclado. Esta información suele estar relacionada con ciertos sitios bancarios.

Además, puede capturar los siguientes datos:

• Contraseñas varias
  Datos de cuentas FTP
  Datos de la cuenta de correo del usuario
  Dirección IP del equipo
  Favoritos de Internet Explorer
  Nombre del equipo

Toda esta información es enviada a un sitio remoto vía HTTP.

Cuando se ejecuta, el troyano puede crear o descargar de Internet, los siguientes archivos:

\TEMP\clea??.dll
[Carpeta Web Folders]\ibm???.dll
[Carpeta Web Folders]\ibm???.exe
[Carpeta Web Folders]\ibm???.dll
[Carpeta Web Folders]\ibm???.exe
[Carpeta Web Folders]\tmp.tmp

Donde "??" son dígitos al azar.

NOTA: La carpeta TEMP está ubicada en "c:\windows\temp", "c:\winnt\temp", o "c:\documents and settings\[usuario]\local settings\temp", de acuerdo al sistema operativo.

NOTA: La [Carpeta Web Folders] puede ser una de las siguientes:

C:\Archivos de programa\Archivos comunes
\Microsoft Shared\Web Folders

C:\Program files\Common files
\Microsoft Shared\Web Folders

El troyano se registra como un servicio con las siguientes características:

Nombre de servicio: ldrsvc
Nombre para mostrar: ldrsvc
Ruta de acceso al ejecutable: [camino]\clea??.dll
Tipo: Automático

También se crean o modifican las siguientes entradas en el registro para autoejecutarse en cada reinicio del sistema:

HKCU\Software\Microsoft\Windows\CurrentVersion\Run
shell = [Camino completo]\ibm??.exe

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Shell = explorer.exe [Camino completo]\ibm??.exe

HKLM\SYSTEM\CurrentControlSet\Services\ldrsvc

Modifica el archivo HOSTS de Windows, para impedir el acceso a determinados sitios de Internet.

El troyano no se propaga por si mismo. Puede llegar a nuestro PC al ser copiado manualmente en el sistema, o al ser descargado intencionalmen te o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P.

Un usuario malintencionad o, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios.

Otros malwares también podrían descargarlo y ejecutarlo en un sistema infectado.


Para ver este enlace Registrate o Inicia Sesion

http://www.vsantivirus.com/psw-sinowal-fp.htm