Trojan: PWS/Sancho. Roba nuestras contraseñas y datos de usuario

Esta página es un servicio gratuito de Video Soft BBS - SUBSCRIBASE en nuestras listas de correo.
Es usted nuestro visitante número

desde el 12 de agosto de 1996

VSantivirus No. 521 - Año 6 - Martes 11 de diciembre de 2001

Nombre: PWS/Sancho
Tipo: Caballo de Troya, robador de contraseñas
Alias: PWS-Sancho
Fecha: 8/dic/01
Tamaño: 64,512 bytes

Este troyano puede robar de la máquina infectada, la información de las cuentas de acceso telefónico y de correo electrónico (nombre de usuario, login, contraseñas, etc.), y enviarlas a tres direcciones de correo.

El código del troyano está comprimido con la utilidad ASPack PE packer.

Cuando se ejecuta, el troyano se copia a si mismo al directorio SYSTEM de WINDOWS, como DIALUPSC.EXE:

C:\Windows\System\DIALUPSC.EXE

Luego crea la siguiente entrada en el registro para ejecutarse en cada reinicio del sistema:

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
DialUpSecurity=C:\WINDOWS\SYSTEM\dialupsc.exe

Los datos recolectados (nombre de usuario, contraseñas, servidores SMTP, etc. de las cuentas de correo electrónico, redes y acceso a Internet), son encriptados y guardados en el archivo RASXNFO.DLL de la misma carpeta:

C:\Windows\System\RASXNFO.DLL

El troyano envía luego esta información a tres cuentas de correo electrónico, vía SMTP. Dichas cuentas pertenecen a los dominios @windoms.sitek.net, @mail.ru y @postmaster.co.uk

PWS/Sancho se activa al ser ejecutado por el propio usuario, por lo tanto se recomienda no abrir archivos enviados sin su consentimiento, ni ejecutar nada descargado de Internet, sin revisarlo antes con uno o dos antivirus al día.

Para remover manualmente este troyano de un sistema infectado

1. Ejecute un antivirus actualizado.

2. Borre con REGEDIT (Inicio, Ejecutar, teclee REGEDIT y Enter)la entrada "DialUpSecurity" de la siguiente rama del registro:

HKEY_LOCAL_MACHINE
Software
Microsoft
Windows
CurrentVersion
Run

3. Borre desde el explorador de Windows, los siguientes archivos:

C:\Windows\System\DIALUPSC.EXE
C:\Windows\System\RASXNFO.DLL

Fuente: Network Associates

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com