O código malicioso copia-se para o sistema, substituindo o ficheiro Userinit.exe no sistema operativo do Windows. Este ficheiro executa o browser Internet Explorer, a interface do sistema e outros processos essenciais. Para o computador continuar a funcionar correctamente e para evitar levantar suspeitas da infecção, o Trojan copia o ficheiro de sistema para outra localização com o nome userini.exe.

“Todo este esforço para não ser detectado está em consonância com a actual dinâmica do malware: os cibercriminosos já não estão interessados na fama ou notoriedade; procuram antes obter benefícios financeiros da forma mais silenciosa possível”, afirma Luis Corrons, Director Técnico do PandaLabs.

Finalmente, o Agent.JEN liga-se a um domínio russo (já utilizado por outros banker Trojans) e utiliza-o para enviar um pedido a um domínio alemão para o download de um rootkit e de um adware, detectados pelo PandaLabs como Rootkit/Agent.JEP e Adware/AntivirusXP2008. Esta situação aumenta ainda mais o risco de infecção.

“Já tínhamos assistido a cibercriminosos que utilizam imagens eróticas, postais românticos ou de Natal, trailers falsos, etc. para levar os utilizadores a executar ficheiros infectados. No entanto, não é habitual ver engodos como este”, explica Corrons. “Isto indica claramente que os cibercriminosos estão a tentar não levantar suspeitas para propagar as suas criações”.

Mais informação disponível no blog do PandaLabs: http://pandalabs.pandasecurity.com/archive/Fake-UPS-Invoice-Email.aspx

 

{mosgoogle}