Ce cheval de Troie arrive sur un système comme un fichier chuté par d'autres programmes malveillants ou d'un fichier téléchargé à partir d'une URL.

Lors de l'exécution, ce cheval de Troie crée un copie de lui-même dans le dossier système Windows.

Il crée un dossier avec certains de ses attributs système et caché pour empêcher les utilisateurs de découvrir et de supprimer ses composants.

Ledit dossier contient certains fichiers malveillants non-utilisé pour enregistrer les informations de configuration dans le fichier de configuration et téléchargé à mettre la volée des informations recueillies.

Il crée et modifie la clé de Registre (s) et l'entrée (s).

Il crée un mutex pour garantir qu'une seule instance de lui-même est en cours d'exécution en mémoire.

Ce cheval de Troie télécharge un fichier de configuration cryptés à partir d'une URL et est enregistré au moyen d'un certain nom de fichier.

Une fois décrypté, le téléchargement du fichier de configuration contient bancaires liés à des sites Web qui surveille ce cheval de Troie. Notez que le contenu du fichier, d'où la liste des sites Web pour surveiller, mai changer tout le temps.

Ce cheval de Troie crée aussi une télécommande à fil injecter lui-même dans un certain processus légitime de rester mémoire résidente. Cette routine permet à ce cheval de Troie à courir même lorsque le système est en mode sans échec.

Il tente de récupérer des informations de la banque les institutions.

Il tente de voler des informations sensibles des services bancaires en ligne. Quand un utilisateur tente d'accéder à des sites contrôlés dans le fichier de configuration, il saisit l'utilisateur (en particulier ceux inscrits dans les cases de saisie pour les noms d'utilisateur et mots de passe) et l'enregistre dans un fichier. Cette routine des risques de l'exposition de l'utilisateur du compte de l'information, qui mai alors conduire à l'utilisation non autorisée des données de vol.

Les informations recueillies sont stockées dans le système touché et ensuite envoyé à un certain Web via HTTP POST.

Il vérifie la présence de certains procédés qui sont liés à Outpost Personal Firewall et ZoneLabs Client Firewall. Il prend fin si un ou l'autre de ces procédés existent. Il s'agit de s'assurer que le malware se déroulera sans interruption.



Plus d'informations ...