Virus Banker.BSX

Efectos:

Banker.BSX realiza las siguientes acciones:

• Abre el puerto 1106 y se queda residente en memoria.
• Monitoriza si el usuario accede las siguientes páginas web, pertenecientes a entidades bancarias:
  
  https://secure2.venezolano.com/
  https://e-bdvcp.banvenez.com
  https://www.ibprovivienda.com.ve/personas/
  https://banco.micasaeap.com/individualmc/
  https://olb.todo1.com/servlet/msfv/
  https://www.banesco.com/servicios_electronicos_pag.htm
  https://www.banesconline.com
  https://www.provinet.net/shtml/
  https://bod.bodmillenium.com
  https://www.corp-line.com.ve/personas/
  
• Si el usuario accede a alguna de ellas, Banker.BSX captura las acciones realizadas por el usuario en las mismas, incluyendo el nombre de usuario y las contraseñas pulsadas mediante teclados virtuales.
• Los datos capturadas son enviados a una determinada dirección de correo electrónico.
• Envía un mensaje instantáneo a todas las direcciones que encuentre en la Lista de Contactos del programa MSN Messenger. Dicho enlace apunta a una copia del troyano Nabload.U:
  
  ve esa vaina
  http://hometown.<bloqueado>miralafoto/foto.exe
  
  
  
  Si se pulsa dicho enlace, Nabload.U es descargado en el ordenador.

Metodo de infección:

Banker.BSX crea los siguientes archivos en la subcarpeta SERVICE del directorio de sistema de Windows:

• SERVICE.DLL, que no es una DLL, sino un archivo INI que contiene información sobre la configuración del troyano: dirección de correo electrónico a la que es enviada la información capturada, sitio web del que se descarga el troyano, mensajes enviados a través de MSN Messenger, etc.
• Varios archivos JPG, que son capturas de pantalla de las acciones realizadas por el usuario mientras visita los sitios web monitorizados.
• %banco%.HTML, donde se almacenan las pulsaciones de teclado realizadas por el usuario y las capturas de pantalla asociadas al banco del que se ha recogido la información.
• EL.DLL, que no es una DLL, sino un archivo de texto en el que Banker.BSX almacena las direcciones que encuentra en la Lista de Contactos de MSN Messenger.

Banker.BSX crea la siguiente entrada en el Registro de Windows:

• HKEY_LOCAL_MACHINE\ SOFTWARE\ Microsoft\ Windows\ CurrentVersion\ Run
  services = %sysdir%\ service\ services.exe
  donde %sysdir% es el directorio de sistema de Windows.
  Mediante esta entrada, Banker.BSX consigue ejecutarse cada vez que Windows se inicia.

Metodo de propagación:

Banker.BSX es descargado en el ordenador por otro troyano, llamado Nabload.U.

Otros detalles:

Banker.BSX está escrito en el lenguaje de programación Delphi. Este troyano tiene un tamaño de 393728 Bytes cuando está comprimido mediante UPX, y de 1143750 Bytes una vez descomprimido.