Enciclopedia de Virus
Bienvenido a la Enciclopedia de Virus del Laboratorio de Panda Security.
Efectos
Trile produce los siguientes efectos en el ordenador:
Infecta
ficheros, copiando en las primeras líneas el código vírico.
Busca procesos correspondientes a programas
antivirus y de seguridad. Si encuentra que estos procesos se encuentran activos en el ordenador, los finaliza. Si quiere ver la lista de procesos que
Trile finaliza, pulse
aquí.
Metodo de Infección
Trile crea los siguientes ficheros en el directorio de Windows:
- ????????.EXE. Es una copia del gusano de nombre aleatorio.
- KERNEL.DLL. Es parte del gusano, con un tamaño de 70656 Bytes.
- SVCHOST.EXE. Es una copia del gusano.
Trile también crea múltiples ficheros, que son copias de sí mismo, en el directorio C:\My Downloads (si no existe la carpeta C:\My Downloads , la crea y posteriormente crea en ella los ficheros). El nombre de este fichero lo crea seleccionando aleatoriamente una opción de cada una de las siguientes partes:
Trile crea las siguientes claves en el Registro de Windows:
HKEY_LOCAL_MACHINE\ SOFTWARE\ <programa_de_seguridad> <número> = <e-mail>
Donde programa_de_seguridad es una de las cadenas pertenecientes a programas de seguridad que el gusano utiliza para terminar procesos, número es un valor numérico autoincrementado, y e-mail son direcciones de correo obtenidas del equipo en el que se ejecuta.
HKEY_LOCAL_MACHINE\ SOFTWARE\ <nombre_aleatorio> email_num
Con un valor que indica la cantidad de direcciones de correo que ha conseguido robar (las direcciones de correo pueden estar repetidas).
HKEY_LOCAL_MACHINE\ SOFTWARE\ <nombre_aleatorio> Sent
Con un valor que indica la cantidad de mensajes que el gusano ha enviado.
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\Run "AUTOTRACE"
HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run nombre1 %windir%\ nombre2.exe
Donde nombre1 y nombre2 son dos cadenas de texto diferentes y aleatorias creadas por el gusano.
Lo hace para ejecutarse en cada reinicio de la máquina
Método de Propagación
Trile es un gusano que se propaga a través del correo electrónico y de los programas de intercambio de ficheros punto a punto (P2P) KaZaa y Shareaza.
Propagación a través del correo electrónico.
Sigue el siguiente proceso:
- Llega al ordenador en un mensaje con las siguientes características:
Asunto: es variable, y será uno de los presentados en la siguiente listado, en orden alfabético:
$150 FREE Bonus!!
25 mechants and rising!
Announcement!
Bad news!!
CALL FOR INFORMATION
Click on this!
Correction of errors!
Cows
Daily Email Reminder!
Empty account!
Fantastic!
Free Shipping!
FSM32
Get 8 FREE issues – no riks!!
Get a FREE gift!
Greets!!
Hi!
History screen!
I need help about script!!!
Interesting...
Introduction
Its Easy!
Its Easy! ing!
Just a reminder!
Lost & Found!
Market Update Report!
Membership Confirmation
My eBay ads!
New bonus in your cash account!
New Contests!
New Reading
News
Payment Notices!
Please Help...
Report
SCAM alert!!!
Sponsors needed!
Star Wars II Movie
Stats
Today Only!!
Tools For Your Online Business!
Various!
Warning!
Wow!
Your News Alert!!
Contenido del mensaje, que será uno de los siguientes:
Attached one Gift for u..
More details attached!
Check the attachment..
Check the attachment!
See the attachment!
Enjoy the attachment!
Hi Check the attachment..
Hi Check the attachment.. See u
Fichero adjunto, con uno de los siguientes nombres:
CHECKFRIENDS
ENJOYLOVE
FREESCREENSAVER
FRIENDS
FRIENDS4U
FRIENDSCR
FRIENDSEARCH
FRIENDSHIPFORU
FRIENDSWORLD
GREETINGS
LOVE
LOVE4U
LOVERS
LOVERSCREENSAVER
LOVERSGANG
LOVESCR
LOVESHORE
PASSION
RISHTHA
SCREENSAVER
SCREENSAVER4U
SCREENSAVERFORU
SHAKESCR
SHAREIT
SHARELOVE
TRUEFRIENDS
TRUELOVERS
URFRIEND
WERFRIENDS
Junto a el nombre, estos ficheros tendrán doble extensión. La primera será una de las siguientes: GIF, MPG, MP3, XLS, WAV, DAT, JPG, HTM, XLS, TXT, MDB, BMP, DOC o ZIP. Y l a segunda será PIF, BAT o SCR.
Como ejemplos, se pueden presentar ficheros como estos: WERFRIENDS.GIF.BAT , WERFRIENDS.GIF.PIF, WERFRIENDS.MPG.SCR, etc. - Una vez afectado el equipo, Trile envía una copia de sí mismo a todos los contactos que encuentra en la Libreta de direcciones de Outlook.
Propagación a través de KaZaA y Shareaza.
Para propagarse sigue el siguiente proceso:
- Comprueba cual es el directorio compartido de estos programas
- En ese directorio, crea múltiples copias de sí mismo.
- Otros usuarios de estos programas podrán acceder, de manera remota, a esos directorios compartidos. Así, se descargarán voluntariamente en su ordenador alguno de los ficheros nombrados anteriormente, pensando que se trata de películas, aplicaciones informáticas, etc. En realidad, se estarán descargando en sus ordenadores una copia del gusano.
- Al ejecutar el fichero infectado, esos otros ordenadores quedarán infectados por Trile.
Otros Detalles
El fichero que provoca la infección tiene un tamaño de 90112 Bytes.