• Tweet

Bancos de Alemania, España y Reino Unido han sido blanco de Spy-Agent y PWS. Después de infectar una computadora, el caballo de Troja espera hasta que el usuario visite un sitio web legítimo de un banco, entonces inyecta código malicioso HTML en ciertos campos. El programa captura los PIN de un sólo uso y los números de operación que la persona proporciona en cada uno de los campos.

Como resultado, el PIN de un sólo uso y los números de operación nunca llegan a su destino, el sitio web del banco, pero lo importante de este caso es que tanto el PIN como los demás datos proporcionados continuan siendo válidos. Los intrusos probablemente almacenan los datos para su propio uso o para el uso de terceros.

El intruso intenta colocar el caballo de Troya mediante un exploit para Windows Meta File que afecta a Internet Explorer. La víctima debe visitar un sitio malicioso que infecte su sistema, lo cual se logra a través del envío de correo electrónico que invite a visitar dicho sitio. Un keylogger es el que captura la actividad en el teclado del usuario, éste es instalado junto con el caballo de Troya.

Sana Labs descubrió otro caballo de Troya, el cual se distribuye junto con un rootkit. El código malicioso se propaga mediante el gusano Alcra, el cual dirige una PC con Windows a un sitio de donde los programas son obtenidos. El troyano es capaz de recuperar nombres de usuarios y contraseñas que se hayan utilizado en la máquina sin hacer uso de keyloggers. El laboratorio dijo que identificó 37,000 nombres de usuario y contraseñas, los cuales se contenian en 7,000 localidades.

Una vez que el software malicioso es colocado en la PC, esta se comunica con un servidor Web ruso, el cual almacena los nombres de usuario y contraseñas obtenidos por el troyano.

Sana Labs dijo que el caballo de Troya se mantiene oculto por el rootkit a nivel de kernel y es por eso que algunos programas antivirus tienen problemas para detectarlo; también mencionó que hasta hoy lunes, solamente cinco aplicaciones antivirus pudieron detectarlos: UNA, VBA32, Sophos, NOD32 versión 2 y eTrust-Vet.