Nombre:TR/Agent.tcn
Descubierto:06/06/2009
Tipo:Troyano
En circulación (ITW):Sí
Número de infecciones comunicadas:Bajo
Potencial de propagación:Bajo
Potencial dañino:Bajo
Fichero estático:No
Versión del VDF:7.01.04.64

 General    • No tiene rutina propia de propagación
   •  Kaspersky: Backdoor.Win32.Agent.ahrt
   •  F-Secure: Backdoor.Win32.Agent.ahrt
   •  Sophos: Mal/Generic-A
   •  Bitdefender: Trojan.VB.NZF
   • Roba informaciones

 Ficheros Se copia a sí mismo en las siguientes ubicaciones:
   • %WINDIR%\systemserv32.exe
   • C:\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\appleJuice\incoming\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Bearshare\Shared\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\eDonkey2000\Incoming\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\emule\incoming\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Gnucleus\Downloads\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Grokster\My Grokster\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Kazaa Lite K++\My Shared Folder\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Kazaa Lite\My Shared Folder\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Kazaa\My Shared Folder\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\KMD\My Shared Folder\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\limewire\Shared\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Morpheus\My Shared Folder\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Overnet\incoming\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Rapigator\Share\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Shareaza\Downloads\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Swaptor\Download\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\Tesla\Files\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\WinMX\My Shared Folder\multi_keygen_for_532_games.exe
   • %PROGRAM FILES%\XoloX\Downloads\multi_keygen_for_532_games.exe

– Un fichero que contiene las direcciones de correo recolectadas:
   • %WINDIR%\wkernel32.sys

 Registro Añade la siguiente clave del registro para ejecutar el proceso al iniciar el sistema:

– SystemService32
   • %WINDIR%\systemserv32.exe

 Backdoor (Puerta trasera) Servidor contactado:
El siguiente:
   • http://blog.infolinux.ro/****************

Esto se realiza mediante una interrogación HTTP GET en un script PHP.


Envía informaciones acerca de:
    • Collected Email addresses (es)
    • Nombre del ordenador

 Robo de informaciones Intenta robar las siguientes informaciones:

– La siguiente clave de CD:
   • Steam

– Las contraseñas de los siguientes programas:
   • Firefox
   • Steam

– Monitoriza la red mediante un sniffer y busca las siguientes series de caracteres:
   • :.login; :,login; :!login; :@login; :$login; :%login; :^login;
      :&login; :*login; :-login; :+login; :/login; :\login; :=login;
      :?login; :'login; :`login; :~login; : login; :.auth; :,auth; :!auth;
      :@auth; :$auth; :%auth; :^auth; :&auth; :*auth; :-auth; :+auth;
      :/auth; :\auth; :=auth; :?auth; :'auth; :`auth; :~auth; : auth;
      :.hashin; :!hashin; :$hashin; :%hashin; :.secure; :!secure; :.syn

 Datos del fichero Lenguaje de programación:
 El programa de malware ha sido escrito en Visual Basic.

Descripción insertada por Serban Ghiuta el martes 28 de julio de 2009
Descripción actualizada por Serban Ghiuta el miércoles 29 de julio de 2009

Volver . . . .