Este troyano llega en un sistema como un archivo bajado por otro malware o como un archivo descargado desde una URL.

Tras la ejecución, este troyano gotas una copia de sí mismo en la carpeta del sistema de Windows.

Crea una carpeta con algunos de sus atributos conjunto del sistema y ocultos que impidan a los usuarios descubrir y eliminar sus componentes.

El dice carpeta no contiene ciertos ficheros dañinos utilizados para guardar la información de configuración se encuentran en el archivo de configuración para guardar el archivo y el robo de información recopilada.

Crea y modifica la clave del Registro (s) y entrada (s).

Crea un mutex para asegurarse de que sólo una instancia de sí mismo se está ejecutando en la memoria.

Este troyano descarga un archivo de configuración de cifrado a partir de una determinada URL y se ha guardado utilizando un determinado nombre de archivo.

Una vez descifrado, el archivo descargado contiene la configuración de la banca relacionadas con los sitios Web que este troyano monitores. Tenga en cuenta que el contenido del archivo, por lo tanto, la lista de sitios web para controlar, puede cambiar cualquier momento.

Este troyano también crea un hilo de ejecución remoto para inyectar en un proceso legítimo determinados a permanecer residentes en memoria. Esta rutina permite ejecutar este troyano, incluso cuando el sistema está en modo seguro.

Trata de recuperar la información de las instituciones relacionadas con la banca.

Intenta robar información sensible de banca en línea. Cuando un usuario intenta acceder a cualquiera de los sitios controlados en el archivo de configuración, que capta la entrada del usuario (especialmente los consignados en las cajas de entrada para los nombres de usuario y contraseñas) y lo guarda en un archivo. Esta rutina riesgos a la exposición de la cuenta del usuario la información, que puede conducir a la utilización no autorizada de los datos robados.

La información reunida se almacena en el sistema afectado y, a continuación, envían a una URL a través de HTTP POST.

Se comprueba la presencia de determinados procesos que están relacionados con Personal Firewall avanzado y ZoneLabs Firewall de Cliente. Termina si uno de dichos procesos existen. Esto es para asegurar que el malware se ejecute sin interrupciones.



Más información ...