Trojan.W32/Progent

Alias:
Trojan.Progent (Symantec), Trojan.Spy.ProAgent.121 (Kaspersky (viruslist.com)

Descripción:
Troyano que intenta robar información del sistema infectado, y enviarsela al autor del código.

Entre la información recopilada, se encuentran las pulsaciones efectuadas sobre el teclado, la libreta de direcciones de contacto y contraseñas de varias aplicaciones.

Detalles:
Cuando Trojan.W32/Progent es ejecutado, realiza las siguientes acciones:

1. Se copia a sí mismo como %System%\dtxservice.exe.
   
   
2. Añade a las claves del registro indicadas, el siguiente valor:

   Claves:
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Current Version\Run
   HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Current Version\policies\
   Explorer\Run
   Valor:
   "DirectX For Microsoft Windows" = "%System%\dtxservice.exe -atm"

3. Deja en el sistemas los siguientes ficheros:
   • %Windows%\Crss.exe
   • %Winodws%\mfps.exe
   • %Windows%\kdd32.atm
   • %Windows%\iss32.exe
   • %Windows%\mps.exe
   
   
4. Crea la subclave indicada bajo la siguiente entrada del registro:

   Clave: HKEY_LOCAL_MACHINE\SOFTWARE\
   Subclave creada: ktdll32

5. Crea la subclave indicada bajo la siguiente entrada del registro:

   Clave: HKey_Current_User\SOFTWARE\Microsoft
   Subclave creada: Dxdriver

6. Roba contraseñas e información sobre las cuentas de usuario de los siguientes programas:
   • ICQ
   • Yahoo! Messenger
   • Trillian
   • MSN Messenger
   • Outlook Express
   • Outlook
   • Eudora
   • IncrediMail
   • FTP
   • RAS
   • InternetExplorer Autocomplete
   
   
7. Además, también realiza las siguientes acciones:
   • Roba el historial de URL visitadas.
   • Roba el contenido de la libreta de direcciones.
   • Roba información del sistema.
   • Recopila el registro de procesos ejecutados.
   • Recopila las pulsaciones realizadas sobre el teclado.
   
   
8. Envía toda la información anterior al autor del troyano.

Solución:

Más información acerca de este virus en:

• Symantec

Fuente: red.es