8 de abril de 2016

Los troyanos bancarios completamente nuevos no suelen detectarse con mucha frecuencia—normalmente, los malintencionados prefieren modificar los programas nocivos antiguos conocidos hace mucho. Una de las modificaciones del banker cuyos códigos fuente se publicaron hace poco en acceso libre, es Trojan.Gozi detectado por los analista de virus de la empresa Doctor Web.

Este programa nocivo capaz de funcionar en equipos bajo la administración de versiones Windows de 32- y 64-bit realiza una amplia gama de funciones. Trojan.Gozi permite a los malintencionados robar los datos que los usuarios introducen en varios formularios de la pantalla, registrar las pulsaciones de teclas (keylogging), saber incrustar contenido ajeno en las páginas web visualizadas en el equipo infectado (es decir, realizar web-injects). Además, usando Trojan.Gozi los ciberdelincuentes pueden obtener acceso remoto al escritorio del equipo infectado usando la tecnología Virtual Network Computing (VNC). Este troyano por comando de los malintencionados puede iniciar el servidor proxy SOCKS en el PC infectado, así como descargar e instalar varios complementos.

Al igual que varios otros programas nocivos modernos, para detectar las direcciones de sus servidores administrativos Trojan.Gozi usa un algoritmo especial de generación de dominios— Domain generation algorithm (DGA). Para realizarlo, descarga del servidor NASA un archivo de texto usado como diccionario, de una manera peculiar lo transforma tomando en cuenta la fecha actual y a base de los valores obtenidos crea los nombres de dominio que usará posteriormente como direcciones de servidores administrativos. El troyano cambia automáticamente el servidor administrativo cada 15 días. Toda la información que Trojan.Gozi intercambia con sus servidores de comando se cifra.

A diferencia de las versiones anteriores de programas nocivos similares, Trojan.Gozi puede crear las botnets peer-to-peer, es decir, intercambiar los datos con otros equipos infectados directamente, por medio de crear una red P2P. La información que se transmite de esta forma también se cifra.

Gracias al gran conjunto de funciones espía, y en particular — la posibilidad de realizar web-injects, el troyano Trojan.Gozi puede robar en el equipo infectado varios tipos de información confidencial, así mismo, la usada para acceder a sistemas «banca-cliente». Este programa nocivo se detecta correctamente por el software antivirus Dr.Web y por lo tanto no es peligroso para nuestros usuarios.

Más información sobre el troyano