Un nuovo virus raccoglie le password per i giochi online

Il compito principale del Trojan Wowcraft.C è cercare di raccogliere quante più password possibili dai giocatori durante l'esecuzione di due popolari giochi online.

Il Trojan Wowcraft.C ha individuato per sé due giochi online. Se uno dei giochi online di World of Warcraft o The Legend of Mir si avvia sul computer infetto, il Trojan attiverà immediatamente un programma di monitoraggio della tastiera. In questo modo, cerca di raccogliere quante più password possibili, che trasmette agli autori del virus tramite Internet. Wowcraft.C crea o modifica molte voci nel database di registrazione. Tenta inoltre di arrestare i processi associati a vari software di sicurezza, lasciando i computer infetti vulnerabili a virus aggiuntivi.

Quando il Trojan Wowcraft.C si avvia, esegue le seguenti azioni:

1. Creare i seguenti file:
% ProgramFiles% \ File comuni \ INTEXPLORE.pif
% ProgramFiles% \ Internet Explorer \ INTEXPLORE.com
% Windir% \ Debug \ DebugProgram.exe
% System% \ dxdiag.com
% Sistema% \ MSCONFIG.COM
% System% \\\ egedit.com
% Windir% \ EXERT.exe
% Windir% \ LSASS.exe
% Windir% \ IO.SYS.BAK

2. Il database di registrazione
HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentV ersion \ Run
aggiunge alla tua chiave
“ToP” = “%Windir%\LSASS.exe” értéket.

3. Il database di registrazione
HKEY_LOCAL_MACHINE \ SOFTWARE \ Classi \ WindowFiles \ Shell \ Open \ Command
HKEY_LOCAL_MACHINE \ SOFTWARE \ Classi \ .exe
aggiunge alle tue chiavi
“(Default)” = “%Windir%\EXERT.exe “%1″ %*”
“(Default)” = “WindowFiles” értékeket.

4. Il database di registrazione
HKEY_LOCAL_MACHINE \ SOFTWARE \ Client \ StartMenuInternet \
INTEXPLORE.pif
aggiunge alla tua chiave
“LocalizedString” = “INTEXPLORE” értéket.

5. Il database di registrazione
HKEY_LOCAL_MACHINE \ SOFTWARE \ Client \ StartMenuInternet \
INTEXPLORE.pif \ shell \ open \ command
aggiunge alla tua chiave
“(Default)” = “%ProgramFiles%\common~1\INTEXPLORE.pif” értéket.

6. Il database di registrazione
HKEY_CURRENT_USER \ Software \ Impostazioni programma VB e VBA \
Microsoft Soft Debuger \ Impostazioni
aggiunge alla tua chiave
“GUID” = “[RANDOM STRING]” értéket.

7. Modificare il database di registrazione
HKEY_CURRENT_USER \ Software \ Microsoft \ Internet Explorer \ Main
incluso nella chiave
“Check_Associations” = “No” értéket.

8. Modificare il database di registrazione
HKEY_LOCAL_MACHINE \ SOFTWARE \ Classi \ CLSID
\{871C5380-42A0-1069-A2EA-08002B30309D}\shell\OpenHome Page\Command
HKEY_LOCAL_MACHINE \ SOFTWARE \ Classi \ ftp \ shell \ open \ comando
nelle chiavi
“(Default)” = “%ProgramFiles%\Internet Explorer\INTEXPLORE.com” %1″ értéket.

9. Modificare il database di registrazione
HKEY_LOCAL_MACHINE \ SOFTWARE \ Classi \ file html \ shell \ open \ command
incluso nella chiave
“(Default)” = “%ProgramFiles%\Internet Explorer\INTEXPLORE.com” -nohome”
“(Default)” = “%ProgramFiles%\common~1\INTEXPLORE.pif” %1″” értékeket.

10. Modificare il database di registrazione
HKEY_LOCAL_MACHINE \ SOFTWARE \ Classi \ HTTP \ shell \ open \ co mmand
incluso nella chiave
“(Default)” = “%ProgramFiles%\common~1\INTEXPLORE.pif” -nohome” értéket.

11. Avvia il monitoraggio della tastiera quando un utente naviga nelle seguenti pagine Web:
us.logon.worldofwarcraft.com
logon.worldofwarcraft.com

12. Prova a raccogliere password aggiuntive da un altro gioco online (The Legend of Mir.).

13. Trasmette le informazioni raccolte agli aggressori via Internet.

14. Arresta i processi associati al software di sicurezza.