Detta Trojan anländer på ett system som en fil minskade med andra sabotageprogram eller som en nedladdad fil från en viss webbadress.

Vid utförande, detta Trojan droppar en kopia av sig själv i Windows systemmapp.

Det skapar en viss mapp med dess attribut inställd till systemet och dolda för att hindra användare från att upptäcka och avlägsna dess komponenter.

Nämnda mapp innehåller vissa icke-skadliga filer som används för att spara konfigurationsinformation i den hämtade konfigurationsfil och spara den stulna samlat in information.

Det skapar och ändrar registernyckeln (er) och inträde (er).

Det skapar en mutex för att säkerställa att endast en instans i sig körs i minnet.

Detta Trojan nerladdningar en krypterad konfigurationsfil från en viss adress och sparas med hjälp av ett visst filnamn.

När dekrypteras, den hämtade konfigurationsfil innehåller bank-relaterade webbplatser som denna trojanska monitorer. Observera att innehållet i filen, alltså listan med webbplatser för att övervaka, kan förändras som helst.

Detta Trojan skapar också en fjärransluten konversation för att injicera sig själv i en viss legitim process att stanna minne bosatt. Denna rutin gör det trojanska att köra även när systemet är i felsäkert läge.

Avsikten är att hämta information från bank-relaterade institutioner.

Det är ett försök att stjäla känsliga online banking information. När en användare försöker komma åt någon av de övervakade platser i konfigurationsfilen, det fångar upp signaler från användaren (särskilt de som anges i det inmatningsrutor konstruerade för användarnamn och lösenord) och sparas i en viss fil. Denna rutin risker för exponering av användarens konto information, vilket kan då leda till en obehörig användning av stulna uppgifter.

Den insamlade informationen kommer att lagras i det drabbade systemet och sedan skickas till en viss webbadress via HTTP POST.

Det kontroller av förekomsten av vissa processer som är relaterade till Outpost Personal Firewall och ZoneLabs brandväggsklienten. Det upphör om någon av dessa processer finns. Detta för att säkerställa att den skadliga koden kommer att löpa utan avbrott.



Mer ...