Trojan/Agent.BET

Trojan/Agent.bet

Nombre:	Trojan/Agent.bet Alias: Trojan-Downloader.Win32.Agent.bet, Trojan-Downloader.Win32.Small.dam, W32/Downloader.AYEN, Win32/Fuclip.B, Downloader-BAI, TR/Drop.Small.DBY, Downloader.Agent.ICB, Trojan.Peed.A, Agent.bet, Trojan.Downloader-648, BackDoor.Groan, W32/Groan!tr.bdr, Downloader.Agent.bet, Win32/Nuwar.N!sys, Trojan.ADIRSS, Troj/Dorf-Fam, Trojan.DR.Tibs.GZ, Trojan.Peacomm
Tipo:	Troyano
Tamaño:	26,624 Bytes
Origen:	Internet
Destructivo:	NO
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.1 al 20/01/2007.

Descripción:

Trojan/Agent.bet, es un troyano que llega como archivo adjunto en un mensaje del tipo SPAM e intenta descargar otros archivos maliciosos en el computador atacado, además se difunde a través de recursos compartidos y vía correo electrónico.

Características del Mensaje de Email:

Asunto: [Variable, uno de los siguientes]

A killer at 11, he's free at 21 and kill again!
U.S. Secretary of State Condoleezza Rice has kicked German Chancellor Angela Merkel
British Muslims Genocide
Naked teens attack home director.
230 dead as storm batters Europe.
Re: Your text
Radical Muslim drinking enemies' blood.
Sadam Hussein alive!
Sadam Hussein safe and sound!
Russian missile shot down USA satellite
Russian missile shot down USA aircraft
Russian missile shot down Chinese aircraft
Russian missile shot down Chinese satellite

Archivo Adjunto: [Variable uno de los siguientes]

Full Text.exe
Full Clip.exe
Full Story.exe
Full Video.exe
Full News.exe
Read More.exe
Video.exe

----------------------------

Cuando el troyano se ejecuta se copia a si mismo con todos sus componentes dentro de:

%system%\wincom32.sys
%system%\peers.ini

Nota:

- %system% representa la carpeta "system" dentro de Windows (Ej. C:\WINDOWS\SYSTEM, C:\WINNT\SYSTEM32).

Además crea la siguiente entrada en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wincom32

"ImagePath"="\??\%system%\wincom32.sys"

Une su código dentro del proceso del Services.exe

Finalmente descarga y ejecuta archivos desde los siguientes sitios Web remotos y finaliza los procesos de aplicaciones Antivirus y Firewall.

217.107.217.187/[bloqueado]/game0.exe
81.177.3.169/[bloqueado]/game1.exe
81.177.3.169/[bloqueado]/game2.exe
81.177.3.169/[bloqueado]/game4.exe