Virus Nabload.U

Efectos:

Nabload.U realiza las siguientes acciones:

• Intenta descargar el archivo COCO2006.JPEG desde las siguientes páginas web:
  http://hometown<bloqueado>.au/modnatal.
  http://hometown<bloqueado>.au/arqarq.
  Este archivo, que es en realidad de tipo INI, contiene diversas opciones de configuración de Nabload.U como:
  - Direcciones de los servidores SMTP que utilizará para mandar mensajes de correo.
  - Texto del mensaje que enviará a la Lista de Contactos de MSN Messenger.
  - Dirección de correo electrónico a la que enviará la información capturada.
  El archivo tiene el siguiente formato:
  
  [VERSAO]
  2
  (un número que indica la versión del troyano)
  
  [MODULO]
  http://hometown<bloqueado>.au/modnatal/mdv2_coco.jpg
  http://hometown<bloqueado>.au/modnatal/mdv2_coco.jpg
  (direcciones de uno o varios archivos que intentará descargar)
  
  [SMTP]
  smtp.sao.terra.com.br
  smtp.sao.terra.com.br
  (direcciones de varios servidores SMTP empleados para mandar mensajes de correo electrónico)
  
  [CONTAS]
  1:ademirco@<bloqueado>.com.br:10203040
  2:ademirco@<bloqueado>.com.br:10203040
  (direcciones que utilizará como contacto falsificado)
  
  [DESTINO]
  coco968@<bloqueado>.com
  (dirección de correo electrónico a la que se envía la información capturada)
  
  [EMAILS_CONTATOS]
  depredador<bloqueado>.net
  (direcciones de los contactos que ha recogido del ordenador)
  
  [MensagemMSN]
  ve esa vaina http://hometown<bloqueado>.au/miralafoto/foto.exe
  (mensaje enviado a través de MSN Messenger)
  
  [END]
  
• Intenta acceder a las direcciones indicadas en la sección [MODULO] para descargar los archivos indicados, entre ellos, un troyano de tipo ladrón de contraseñas, detectado como Banker.BSX.
  Por su parte, Banker.BSX captura las acciones realizadas por el usuario en sitios web de entidades bancarias de países de habla hispana, incluyendo el nombre de usuario y contraseña, incluso aunque sean pulsados sobre teclados virtuales, y envía la información recogida a la dirección de correo electrónico indicada en el archivo de configuración.

Metodo de infección:

Nabload.U crea los siguientes archivos en la subcarpeta SERVICE del directorio de sistema de Windows:

• NAVUPDT.EXE. Este archivo es una copia del troyano.
• SERVICE.DLL, que no es una DLL, sino un archivo INI que contiene información sobre la configuración del troyano: dirección de correo electrónico a la que es enviada la información capturada, sitio web del que se descarga el troyano, mensajes enviados a través de MSN Messenger, etc.
• SERVICES.EXE, que es una copia de Banker.BSX.

Metodo de propagación:

Nabload.U es distribuido a través del programa MSN Messenger:

• Cuando un ordenador es afectado por Banker.BSX, éste envía un mensaje instantáneo a todos los contactos. Dicho mensaje incluye un enlace:
  
  ve esa vaina
  http://hometown.<bloqueado>miralafoto/foto.exe
  
  
  
• Si se pulsa dicho enlace, Nabload.U es descargado en el ordenador.

Otros detalles:

Nabload.U está escrito en el lenguaje de programación Delphi 5. Este troyano tiene un tamaño de 40921 Bytes cuando está comprimido mediante Petite, y de 83573 Bytes una vez descomprimido.