Smitfraud
PeligrosidadDañoPropagación

Efectos 

Smitfraud realiza las siguientes acciones:

• Infecta el archivo de Windows WININET.DLL con el virus detectado como W32/Smitfraud.A. La DLL (Librería de Enlace Dinámico) infectada intercepta todas las llamadas a la función HttpSendRequest.
• Utilizando la DLL infectada, Smitfraud es capaz de:
  - Registrar las páginas web visitadas por el usuario y enviar la información a uno de los siguientes servidores: http:// ecjnoe3inwe. com, http:// fjrewcer32. com o http:// dkjfwekjnc4. com.
  - Si la función es llamada desde Internet Explorer, descargar y ejecutar un archivo que es el archivo de instalación de un supuesto programa antispyware llamado PSGuard.
• Instala PSGuard de forma oculta, y sin consentimiento del usuario.
• PSGuard cambia el Escritorio de Windows por una imagen que simula un error fatal de Windows, advirtiendo a los usuarios que han sido afectados porTrojan-Spy.HTML.Smitfraud.c.
  
  
  
  Este tipo de mensajes intenta engañar a los usuarios para que compren la versión completa del falso programa antispyware.

Metodo de Infección 

Smitfraud crea los siguientes archivos:

• OLEADM32.DLL en el directorio de sistema de Windows. El spyware intentará remplazar el archivo WININET.DLL con este cuando el ordenador sea iniciado. Es una versión modificada, que intercepta todas las llamadas a la función HttpSendRequest, que serán transferidas en su lugar a OLEADM.DLL. OLEADM32.DLL es detectado como W32/Smitfraud.A.
• OLEADM.DLL en el directorio de sistema de Windows. Todas las llamadas a la función HttpSendRequest son transferidas a esta DLL, que:
  - Registra las páginas web visitadas y las envía a uno de estos tres servidores: http:// ecjnoe3inwe. com, http:// fjrewcer32. com o http:// dkjfwekjnc4. com.
  - Si la función es llamada desde Internet Explorer, descargará y ejecutará un archivo llamado PSGUARDINSTALL.EXE desde el sitio web http:// download. psguard. com.
• WP.BMP. Esta es la imagen mostrada en el Escritorio de Windows.
• UNINSTIU.EXE, en el directorio de Windows. Este es el archivo ejecutado cuando el usuario trata de desinstalar el spyware desde el Panel de Control.

Smitfraud crea las siguientes entradas en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Uninstall\ Internet update
  Mediante esta entrada, Smitfraud es mostrado en el Panel de Control, opción Añadir o quitar programas, con el nombre Internet Update, de modo que pueda ser confundido con un programa legítimo de Windows.
  Si el usuario intenta eliminar este spyware desinstalándolo desde el Panel de Control, Smitfraud únicamente quita la imagen que mostraba en el Escritorio de Windows. Sin embargo, todos los archivos que ha creado permanecerán en el ordenador afectado.

Método de Propagación 

Smitfraud es instalado en el ordenador afectado por un adware, detectado como CWS.YEXE, que se descarga al visitar sitios con contenido para adultos o páginas web de software pirateado.

Otros Detalles  

Smitfraud tiene un tamaño de 123718 Bytes.