Cavalo de tróia se propaga por mensagens instântaneas

Depois, ele se instala como um serviço, notado a partir das seguintes especificações:

Nome: ctrmons

Nome Mostrado: Office XP Alternative User Input features.

Descrição: Monitora janelas ativas na máquina do usuário, entre outras

funções.

Os detalhes completos podem ser encontrados no seguinte registro:

* HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesctrmons

* O IRC/BBot também contém um componente “Keylogger”, que captura informações digitadas pelo usuário e títulos de janelas, armazenando-as para o arquivo webcldt.dll, dentro do diretório System do Windows.

* Efetua o download e a execução de arquivos

Já, os sintomas podem ser notados pela presença do serviço Office XP Alternative User Input features e pelo tráfego anormal nas seguintes portas/destinos:

* TCP port 53

* testphase.lir.dk

* whome.myphotos.cc

* okidoki.homei.net

* testor.zapto.org

* okidoki.hopto.org

* TCP port 6667

* irc.homelien.no

* irc.efnet.nl

* efnet.vuurwerk.nl