| |
VSantivirus No. 542 - Año 6 - Martes 1 de enero de 2002
Varios programas de uso gratuito, instalan troyano DlDer
Por Redacción VSAntivirus
vsantivirus@videosoft.net.uy
En la descripción del caballo de Troya "Troj/DlDer", mencionábamos su relación con el software
Grokster, utilidad que instala a dicho troyano furtivamente en nuestro PC.
Pero no es el único. La posibilidad de infección ha sido detectada también en las siguientes versiones de conocidas utilidades:
Bearshare 2.4.0 Beta 7
LimeWire 2.02
Kazaa (algunas versiones)
Grokster 1.33
Net2Phone
Durante la instalación de estos programas, se nos pregunta si queremos instalar
"Clicktilluwin".
Aceptemos o no, el troyano DlDer se instalará.
ClickTillUWin permite manejar los avisos que controlan esos paquetes (todos ellos son de uso gratuito a cambio de publicidad).
El troyano, escrito en Visual C++, consta de dos partes, y una vez instalado en el sistema del usuario infectado, realiza constantemente actualizaciones de su componente principal (cada 2.5 minutos), conectándose al dominio
2001-007.com, al mismo tiempo que envía allí datos que identifican a la víctima (dirección IP, navegador usado), y todas las direcciones (URLs) de todas las ventanas del explorador que estuvieran activas.
Grokster es proporcionado por una compañía con sede en Canadá, pero con oficinas en Miami. Sin embargo, los teléfonos asignados a esta dirección, no están en servicio. Y la oficina de informes (consultada en Miami), no tiene datos sobre nada llamado Grokster.
Otra de las investigaciones, parecen apuntar a la descarga del troyano a través de aplicaciones de ActiveX o Javascript. Estas descargas y su ejecución inmediata, pueden hacerse sin el conocimiento del usuario afectado, aprovechando conocidos agujeros de seguridad.
Como dijimos, al ejecutarse el DlDer.exe por primera vez, se produce la descarga del
Explorer.exe del Web mencionado antes, el cuál se copia a la carpeta
WINDOWS\explorer, y luego modifica el registro, para continuar ejecutándose cada vez que se enciende o reinicia la computadora.
El proceso se sigue repitiendo. Conexión al sitio 2001-007.com, reportes de los datos obtenidos en la computadora, robo de todas las direcciones Web visitadas por la víctima, etc.
Más información:
VSantivirus No. 539 - 29/dic/01
Troj/DlDer. Spyware instalado por varias utilidades.
http://www.vsantivirus.com/trojan-dlder.htm
VSantivirus No. 547 - 6/ene/02
DlDer, un espía en casa
http://www.vsantivirus.com/06-01-02b.htm
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
|
