Diario Tecnologico - Informe Semanal de Virus e Intrusos

Los troyanos Clickbot.A y Kitty.Kat, y el gusano Hoots.A, centran el contenido del informe de PandaLabs de esta semana.

Clickbot.A es un troyano que permite obtener beneficios económicos haciendo clicks fraudulentos en sistemas de pago por click, cuyos anunciantes no obtienen realmente ninguna visita. PandaLabs ha puesto al descubierto la existencia de una red con miles de ordenadores utilizados para este fin. Su propagación no es automática, sino que requiere de una acción del usuario para poder afectar al sistema, como abrir ficheros adjuntos de correo electrónico, descargar ficheros de Internet o de redes P2P.

En ese instante, el troyano se registra como un BHO (Browser Helper Object), lo que le permite activarse cada vez que se inicia Internet Explorer. Clickbot.A proporciona características relevantes tales como la posibilidad de actualización automática de su propio código, la notificación al controlador de la red de bots de que el computador está infectado y disponible en ese momento, así como la posibilidad de iniciar clicks fraudulentos bajo demanda.

KittyKat.A es un troyano que no se propaga por sus propios medios, requiriendo de la intervención del usuario para activarse, abriendo ficheros adjuntos a correos electrónicos, descargados de la web o de programas de redes P2P. Aparece siempre dentro de un archivo comprimido con extensión RAR, que incluye además de los archivos empaquetados originales una serie de ficheros de nombre y tamaño aleatorio, junto con otro fichero llamado Start.bat. Si se ejecuta este último archivo se crea entonces un nuevo ejecutable llamado Nrk.exe que busca todos los ficheros con extensión RAR para insertar su código. Al finalizar el proceso de búsqueda, se muestra en pantalla el siguiente mensaje: Eppur si muove! - Defend your opinion! . No se acompañan otras acciones maliciosas a la infección.

Hoots.A es un gusano que se propaga a través de recursos compartidos y unidades mapeadas dentro de una red local. Es fácilmente reconocible porque envía a las impresoras de la red una imagen de un búho nival, con el texto sobre la imagen “O RLY?”. EL gusano crea en el sistema alcanzado un fichero llamado O RLY.exe en la carpeta de inicio, para ejecutarse cada vez que arranque Windows, así como otro fichero llamado Check.exe, ambos copias de su propio código.

Una vez que el gusano detecta una red, inicia varias acciones para propagarse, como utilizar contraseñas de uso común para intentar ganar acceso y a unidades compartidas, creando después un inventario de las unidades de red mapeadas para crear una copia de si mismo en todas ellas.

Enlaces relacionados
www.pandasoftware.cl