Diario Tecnologico - Los virus de la semana

Esta semana, el informe de PandaLabs da información sobre Harrenix.A, un peligroso troyano que se camufla como un vídeo de la última película de Harry Potter para infectar a los usuarios. Además, se ofrecen datos sobre dos gusanos, Moaphie.A y Trixcu.A, y sobre el troyano Suarabh.A.

(DT, AGENCIAS) Harrenix.A es un troyano que llega al computador con la apariencia de ser un trailer de la próxima película sobre Harry Potter. Sin embargo, cuando el usuario lo ejecute, no verá vídeo alguno, sino que será infectado por el troyano. Éste, para que el usuario no sospeche, le mostrará un mensaje de error en el que le dirá que, por carecer de un determinado codec no puede ver el vídeo, a la vez que le aconseja visitar la página oficial de la película.

Una vez ha infectado un PC, este troyano descarga en el sistema un dialer, detectado por PandaLabs como Dialer.KJD. Éste está diseñado para conectar a los usuarios a Internet a través de una línea de tarificación más cara que la que tiene contratada.

Moaphie.A es un gusano que, cuando infecta un computador, modifica la página de inicio de Internet Explorer establecida por el usuario por otra con contenido malicioso.

Este gusano es capaz de capturar algunos datos del PC infectado. A continuación, los envía por correo electrónico a su creador utilizando una plantilla en la que introduce el nombre del computador y la clave del usuario que haya iniciado sesión en el momento de la infección.

Para propagarse, Moaphie.A se copia en el directorio raíz de otras unidades y en las llaves de memoria USB. Además, crea un fichero autorun.inf en esas unidades con el fin de ejecutarse cuando se acceda a alguna de ellas.

También se propaga por mensajería instantánea. Para ello, buscará, cada diez milisegundos, una ventana abierta con el texto “conversation”, que corresponde a la versión inglesa del sistema de mensajería instantánea MSN Messenger. En caso de encontrar alguna abierta, envía a los contactos del usuario que estén conectados en ese momento un link que dirige a una web que contiene una copia del gusano.

Este gusano se conecta a una página web, desde la que descarga una copia de sí mismo. Para evitar ser eliminado, y mientras está en ejecución, busca todas las ventanas abiertas que contengan cadenas de texto relacionadas con varias soluciones de seguridad. Si encuentra alguna abierta, la cerrará.

Al iniciar la sesión, este gusano mostrará al usuario un mensaje de error con el texto: Fatal Error: kernel32.dll can't be loaded.

Moaphie.A realiza otras acciones maliciosas como inutilizar la consola de comandos, en la que muestra el siguiente mensaje instantáneo: THE WORLD-WIDE DONT ACCEPT COMMAND PROMPT!!!! (El mundo no acepta órdenes desde la línea de comandos).

El segundo gusano de este informe es Trixcu.A. Cuando es ejecutado, muestra un mensaje de error. Entre las acciones maliciosas que realiza en los PCs infectados, se encuentra la de realizar varias copias de sí mismo en el sistema o la de modificar el registro de Windows. Una de esas modificaciones le permite ejecutarse automáticamente cada vez que se reinicia el sistema.

También intenta modificar tanto el nombre con el que está registrado el sistema operativo como la organización. Para propagarse, este gusano se copia en todas las unidades mapeadas del sistema.

El troyano Suarabh.A está diseñado para capturar las pulsaciones del teclado, con lo que podría robar todo tipo de información confidencial introducida por el usuario en su computador. Además, este troyano crea un informe sobre las aplicaciones que están siendo ejecutadas en el sistema.

Suarabh.A cambia los atributos de todas las carpetas del sistema, configurándolas como ocultas o de sólo lectura. Además, modifica varias entradas del registro. Una de ellas deshabilita el menú que permite cambiar las opciones de las carpetas, mientras que otro impedirá al usuario utilizar el Editor del registro de Windows, por lo que no podrá realizar modificaciones en él. De esta manera, el troyano intenta proteger los cambios que ha realizado.