Trojan/Singu.AS

Trojan/Singu.AS

Nombre:	Trojan/Singu.AS Alias: Troj/Singu-AS
Tipo:	Troyano
Tamaño:	Variable
Origen:	Internet
Destructivo:	SI
En la calle (in the wild):	SI
Detección y eliminación:	The Hacker 6.1 al 22/04/2007.

Descripción

Trojan/Singu.AS, es un troyano que accesa a Internet y se comunica con servidores remotos vía HTTP, permite el acceso remoto y no autorizado de un atacante al sistema, tiene características de keylogger.

Cuando el troyano se ejecuta se copia a sí mismo dentro de:

%system%\gdien32.exe

También copia los siguientes archivos dentro de:

%system%\Imrtend.dll
%system%\shlapi.dll [componente keylogger]

Nota:

- %system% representa la carpeta "system" dentro de Windows (Ej. C:\WINDOWS\SYSTEM, C:\WINNT\SYSTEM32)

Seguidamente crea una entrada en el registro para poder ejecutarse en cada inicio del sistema:

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run

"gdien32"="%system%\gdien32.exe"

Finalmente registra al archivo "Imrtend.dll' como un Objeto COM y Browser Helper Object (BHO) en las siguientes entradas del registro, de esta manera cada vez que se ejecute el Internet Explorer también se cargará el componente .dll

HKEY_CLASSES_ROOT\CLSID\{A0496108-A6BA-93D6-E9DC-00707B12076D}
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{A0496108-A6BA-93D6-E9DC-00707B12076D}
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{A0496108-A6BA-93D6-E9DC-00707B12076D}