MerryX.A
PeligrosidadDañoPropagación

Efectos 

MerryX.A realiza las siguientes acciones:

• Registra las pulsaciones de teclado introducidas por el usuario, lo que puede ser utilizado para recoger contraseñas u otra información sensible, constituyendo una amenaza para la confidencialidad del usuario.
• Obtiene información sobre el ordenador afectado, como su dirección IP y contraseñas de acceso, entre otras.
• Después, se conecta a un servidor remoto, al que envía la información recogida.
• Intenta descargar archivos desde diferentes páginas web. Estos archivos pueden ser de cualquier naturaleza, incluyendo malware.

Metodo de Infección 

MerryX.A crea el archivo SQLSERVER.EXE en el directorio de sistema de Windows. Este archivo es una copia del troyano.

MerryX.A crea las siguientes entradas en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ RpcActivator
  ImagePath = %sysdir%\ SQLserver.exe
  donde %sysdir% es el directorio de sistema de Windows.
• HKEY_LOCAL_MACHINE\ SYSTEM\ ControlSet001\ Services\ RpcActivator\ Security
• HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ RpcActivator
  DisplayName = Remote Procedure Call (RPC) Activator
• HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ RpcActivator\ Security
  Mediante estas entradas, MerryX.A se registra como servicio y así, consigue ejecutarse cada vez que Windows se inicia.

Método de Propagación 

MerryX.A ha sido enviado masivamente a través del correo electrónico en un mensaje con las siguientes características:

• Asunto:
  MERRY CHRISTMAS!
• Contenido: el texto y la imagen que aparecen a continuación:
  Merry Christmas and a Happy New Year !
  
  
• Archivos adjuntos: los siguientes:
  1. A_LIGHTSMC10.GIF, que corresponde a la imagen anterior.
  
  2. MERRY CHRISTMAS!.RAR. Es un archivo RAR auto-extraíble que contiene otros dos archivos:
  - SQLSERVER.EXE, que es una copia de MerryX.A.
  - MERRY CHRISTMAS!.SWF, en el que se muestra un video de navidad. La siguiente imagen corresponde a dicho video:
  
  

Otros Detalles  

MerryX.A está escrito en el lenguaje de programación Delphi v5. Este troyano tiene un tamaño de 540473 Bytes.