Enciclopedia de Virus
Bienvenido a la Enciclopedia de Virus del Laboratorio de Panda Security.
Efectos
Burglar.A realiza las siguientes acciones:
- Obtiene la siguiente información del ordenador:
- dirección IP.
- nombre de la máquina.
- área geográfica: región, estado o provincia; ciudad; latitud y longitud aproximada. Para obtener todos estos datos, Burglar.A utiliza Google Maps.
La siguiente imagen es un ejemplo de la información que obtiene a través de Google Maps:
- Descarga el siguiente malware en el ordenador afectado:
-Trj/Sters.P, que impide que tanto el usuario como los programas instalados accedan a los siguientes sitios web relacionados con compañías antivirus:
82.165.237.14
82.165.250.33
avp.com
ca.com
casablanca.cz
customer.symantec.com
d66.myleftnut.info
d-eu-1f.kaspersky-labs.com
d-eu-1h.kaspersky-labs.com
d-eu-2f.kaspersky-labs.com
d-eu-2h.kaspersky-labs.com
dispatch.mcafee.com
download.mcafee.com
downloads1.kaspersky.com
downloads1.kaspersky.ru
downloads2.kaspersky.ru
downloads3.kaspersky.ru
downloads4.kaspersky.ru
downloads5.kaspersky.ru
downloads-us1.kaspersky.com
d-ru-1f.kaspersky-labs.com
d-ru-1h.kaspersky-labs.com
d-ru-2f.kaspersky-labs.com
d-ru-2h.kaspersky-labs.com
d-us-1f.kaspersky-labs.com
d-us-1h.kaspersky-labs.com
eset.casablanca.cz
eset.com
f-secure.com
kaspersky.com
kaspersky-labs.com
liveupdate.symantec.com
liveupdate.symantecliveupdate.com
mast.mcafee.com
mcafee.com
mcafee.com
metalhead2005.info
my-etrust.com
nai.com
networkassociates.com
nod32.com
norton.com
rads.mcafee.com
secure.nai.com
securityresponse.symantec.com
sophos.com
symantec.com
trendmicro.com
u2.eset.com
u3.eset.com
u4.eset.com
u7.eset.com
update.symantec.com
updates.symantec.com
updates1.kaspersky.com
updates2.kaspersky.com
updates3.kaspersky.com
updates-us1.kaspersky.com
us.mcafee.com
viruslist.com
viruslist.com
www.avp.com
www.ca.com
www.eset.com
www.f-secure.com
www.kaspersky.com
www.mcafee.com
www.microsoft.com
www.my-etrust.com
www.nai.com
www.networkassociates.com
www.nod32.com
www.norton.com
www.sophos.com
www.symantec.com
www.trendmicro.com
www.viruslist.com
-Trj/Keylog.LN, que captura las pulsaciones de teclado introducidas por el usuario. De esta manera, puede obtener información confidencial del usuario, como contraseñas.
- Trj/FileStealer.A, que descarga y ejecuta un servidor web en el ordenador. De este modo, consigue acceso remoto al sistema afectado.
-Trj/Banker.CLJ. Este troyano roba contraseñas bancarias. Para ello, monitoriza si el usuario accede a alguna página web relacionada con entidades bancarias. Si es así, manda la orden Stop Navegate al navegador para detener la carga de la página, y muestra dos mensajes de alerta en los que se solicitan datos confidenciales al usuario, que después son enviados a su creador. - Se conecta a la página web http://extec<bloqueado>.com/stats, en la que almacena información sobre los países y direcciones IP infectadas.
Metodo de Infección
Burglar.A crea los siguientes archivos en el directorio de Windows:
- DSRSS.EXE, que corresponde a Trj/Keylog.LN.
- IESERVER.EXE, que corresponde a Trj/FileStealer.A.
- SMSS.EXE y WINLOGON.EXE, que corresponden a Trj/Sters.P.
- IEREDIR.EXE y PREREDIR.EXE, que corresponden a Trj/Banker.CLJ.
Burglar.A modifica el archivo HOSTS. Mediante esta modificación, Burglar.A evita que el usuario pueda acceder a diversos sitios web, que proporcionan actualizaciones para diversos programas antivirus.
Método de Propagación
Burglar.A suele ser distribuido a través del correo electrónico en un mensaje con las siguientes características:
Asunto: uno de los siguientes:
Current Australia’s Prime Minister survived a hear attack
Prime Minister survived a heard attack
The life of the Prime Minister is in grave danger
Contenido:
SYDNEY, February 18, 2007 08:56pm (AEDT) –
The Prime Minister of Australia, John Howard have survived a heart attack. Mr Howard, 67 years old, was at Kirribilli House in Sydney, his prime residence,when he was suddenly stricken.
Mr Howard was taken to the Royal North Shore Hospital where the best surgeons of Australia are struggling for his life.
Click on the link below to get the latest information on the health
of the Prime Minister:
The Australian - keeping the nation informed
John Howard was born on the 26th of July, 1939. Howard is Australia's
second longest serving Prime Minister and leader of the Liberal Party
in Australia.
Este mensaje puede contener:
- un enlace a una página web, que si es pulsado, llevará a una de las siguientes páginas web:
http://www.au<bloqueado>ews.com/
http://www.theau<bloqueado>ews.com/
http://www.thea<bloqueado>ews.org/
que a su vez son redireccionadas a la página web www.ext<bloqueado>b.com, que es la página a partir de la cual comienza la infección. - un archivo ejecutable adjunto que si es ejecutado, el ordenador quedará afectado por Burglar.A.
Otros Detalles
Burglar.A está escrito en los lenguajes de programación Visual Basic y JavaScript. Este troyano tiene un tamaño de 2011 Bytes.