El informe de PandaLabs de esta semana recoge información sobre los troyanos Sinowal.WRN Banbra.GLS y TDSS.CZ.

Sinowal.WRN es un troyano que recaba toda la información posible del PC infectado.  A través de diversas entradas en las claves de registro se quedará residente en el sistema de forma que pueda obtener la información deseada y posteriormente ésta sea enviada.

Para conseguir sus propósitos se presenta ante el usuario como un correo electrónico afirmando que existe un programa de vacunación para el virus H1N1 y que cada persona debe registrar su perfil para fines de seguimiento.
El usuario recibirá un mensaje electrónico en cuyo cuerpo aparecerá el enlace para realizar la descarga del documento electrónico necesario para crear el perfil personal de vacunación. Un ejemplo del mensaje recibido está disponible en: http://www.flickr.com/photos/panda_security/4154977193/

En escasos días se han recibido más de 10.400 informes al respecto en nuestro departamento técnico con distintos asuntos en el mensaje recibido por los clientes.  Puede ver la gráfica en: http://www.flickr.com/photos/panda_security/4154977157/

Si el usuario pulsa sobre el enlace es redirigido a una página web como la siguiente, que contiene un mensaje en el que se solicita al usuario que se descargue un documento para poder crear su perfil de vacunación.  Cuando este archivo es ejecutado, el ordenador queda infectado por Sinowal.WRN, que está diseñado para robar información confidencial del ordenador y del usuario afectado. La información que recopila es almacenada en unos archivos, que posteriormente son enviados a su creador.

Banbra.GLS es un troyano bancario diseñado para robar los datos bancarios del usuario cuando accede a la página web de ciertas entidades bancarias brasileñas. Llega al ordenador en un archivo que cuando es ejecutado muestra una ventana del navegador con una imagen de una supuesta factura de PayPal. La imagen está disponible en: http://www.flickr.com/photos/panda_security/4155738210/

TDSS.CZ es un troyano que puede llegar como un fichero adjunto a un correo. El nombre del fichero es flashupdate, y el icono que presenta es el típico de un instalador. De esta forma y utilizando técnicas de ingeniería social hace que el usuario no desconfie  e instale la supuesta actualización.

Si se ejecuta el archivo la única acción que es perceptible por el usuario es la desaparición del archivo. Realmente, no ha desaparecido sino que el archivo se ha ocultado al poseer características de rootkit. En realidad el proceso sigue ejecutándose, pero gracias a dichas características, el proceso es transparente tanto para el usuario como para el sistema.

Al ocultarse el archivo realiza varias acciones para modificar el sistema en su beneficio. Cada vez que el usuario abre una página web, antes de que pueda cargarse, se abre la siguiente página: http://www.flickr.com/photos/panda_security/4155776202/