Tarjetas virtuales Nico infectando

Seguridad informática explicado en unos básicos pasos, desde como eliminar un virus, quitar restricciones de los sistemas operativos, buscar códigos maliciosos en el sistema como el análisis de cracks, keygens, bugs. También encontraras manuales de programas para su multi-uso.

Tarjetas virtuales Nico infectando

Publicado por Israel Rangel - 07/12/09 a las 08:12:29 pm

El día de hoy se ha recibido un correo en el cual se indica la descarga de una tarjeta electrónica. Con anterioridad podemos observar otros temas similares como Spam de Info@hi5 con TarjetasNico y Trojan en tarjetas animadas falsas de TarjetasNico.

El enlace que se muestra en el correo, es secuestrado por otra dirección URL diferente, y nos solicita la descarga de un archivo llamado Postal.exe.

Al ejecutar el archivo Postal.exe se crea el archivo ejecutable systems.exe, bajo la ruta C:WINDOWSsystem32 y el archivo nmn.exe bajo C:WINDOWS

Ambos archivos levantan un proceso que se mantiene en ejecución todo el tiempo:

El proceso systems.exe abre un puerto y una conexión a un sitio:

Asegura su ejecución posterior al copiarse en el registro de Windows, bajo las llaves:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionpoliciesExplorerrun, bajo la clave MicrosoftCorp y el valor c:WINDOWSsystem32systems.exe
HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindowsCurrentVersionRun, bajo la clave MicrosoftNAPC, con el valor c:WINDOWSsystem32systems.exe

A través del establecimiento de la conexión se obtuvo que se conecta a un servidor IRC, cuya IP es la 77.xxx.xxx.112, a través del puerto 6667. Además de también realizar unos ciertos cambios en el fichero host.

Información del archivo infectado