El troyano Kirad ataca al astuto

El troyano Kirad. Abre una puerta trasera en las PC infectadas en un intento de ayudar a los atacantes.

A En alquiler.A Los troyanos a menudo se propagan en forma de aplicaciones que parecen estar instaladas en las computadoras como software de Microsoft. El troyano crea varios archivos en los sistemas infectados, varios de los cuales se nombran al azar. Luego modifica el registro para, entre otras cosas, permitir que se cargue automáticamente cada vez que se reinicia Windows.

Reconocer Kirad.A a menudo no es una tarea fácil, ya que el troyano se esconde detrás del proceso winlogon.exe de Windows e incluso instala un componente rootkit para que funcione de manera invisible. El troyano abre una puerta trasera en las computadoras infectadas y luego espera los comandos de los atacantes que pueden realizar una serie de acciones maliciosas en sistemas vulnerables.

Cuando se inicia el troyano Kirad.A, realiza las siguientes acciones:

1. Cree los siguientes archivos:
   C: \ Configuración \ arm65.dll
   C: \ Configuración \ desktop.ini
   % Windows% \ Temp \ .tmp
   % Windows% \ Temp \ .sys
   % Windows% \ Temp \ .tmp
2. Infecta el proceso winlogon.exe.
3. Agregue las siguientes entradas a la base de datos de registro:
   HKLM \ SOFTWARE \ Microsoft \ Windows NT \ CurrentVersion \ Winlogon \ Notify \ arm65reg
   HKLM \ SYSTEM \ CurrentControlSet \ Enum \ Root \ LEGACY_APPMGMT \
   SiguienteInstancia = 00000001
   HKLM \ SYSTEM \ CurrentControlSet \ Enum \ Root \ LEGACY_APPMGMT \ 0000 \
   Servicio = "AppMgmt"
   HKLM \ SYSTEM \ CurrentControlSet \ Enum \ Root \ LEGACY_APPMGMT \ 0000 \
   Legado = 00000001
   HKLM \ SYSTEM \ CurrentControlSet \ Enum \ Root \ LEGACY_APPMGMT \ 0000 \
   Indicadores de configuración = 00000000
   HKLM \ SYSTEM \ CurrentControlSet \ Enum \ Root \ LEGACY_APPMGMT \ 0000 \
   Class = "LegacyDriver"
   HKLM \ SYSTEM \ CurrentControlSet \ Enum \ Root \ LEGACY_APPMGMT \ 0000 \
   ClassGUID = “{8ECC055D-047F-11D1-A537-0000F8753ED1}”
   HKLM \ SYSTEM \ CurrentControlSet \ Enum \ Root \ LEGACY_APPMGMT \ 0000 \
   DeviceDesc = "AppMgmt"
   HKLM \ SOFTWARE \ Microsoft \ iInstall = "r"
4. Abre una puerta trasera a través de un puerto seleccionado al azar y luego espera los comandos de los atacantes.
5. Descargue un archivo malicioso a través de Internet.
6. Instala un componente de rootkit para intentar esconderse en los sistemas infectados.