Detalles técnicos

• Nombre completo del virus: Trojan.W32/Daonol
• Tipo de código: Trojan Caballo de Troya: programa que parece beneficioso o útil pero resulta ser malicioso en algún momento. No se propaga por si mismo.
• Plataformas afectadas: W32 Microsoft Windows de 32 bits, pudiendo afectar a Microsoft Windows Vista/XP/Server 2008/Server 2003/2000/NT/Me/98/95
• Capacidad de residencia permanente : No. No tiene capacidad para ejecutarse automáticamente en cada reinicio del sistema.
• Alias:
  • TSPY_INFOSTEA.BB (Trend Micro)
  • TROJ_SEEKWEL.AA (Trend Micro)
  • Troj/Daonol-E (Sophos)
  • Infostealer.Daonol (Symantec)
  • Trojan:W32/Daonol.E (F-Secure)
  • Trojan.Win32.Agent2.ixs (F-Secure)
  • Trojan.Generic.1824541 (Bit Defender)
  • Trojan.Dropper.Agent.UNR (Bit Defender)
  • Trojan.Win32.Agent2.ixs (Kaspersky)
  • Trojan-Dropper.Win32.Agent.apfn (Kaspersky)
  • Win32/Daonol.C (ESET)
  • TR/Agent2.ixs (AVIRA)
  • Trojan.MulDrop.31448 (Doctor Web)
  • Trojan.Win32.Agent2.ixs (K7 Computing)
  • Trojan-Dropper.Win32.Agent.apfn (K7 Computing)
  • W32/Agent2.IXS!tr (Fortinet)
  • W32/Daonol.E!tr (Fortinet)
  • TrojanDropper:Win32/Daonol.D (Microsoft)

Arriba

Propagación

Capacidad de autopropagación: No

Carece de rutina propia de propagación. Puede llegar al sistema de las siguientes maneras:

Arriba

Infección/Efectos

Cuando Daonol se ejecuta, realiza las siguientes acciones:

Resto de acciones

Método de infección

Cuando se ejecuta se copia a sí mismo a la carpeta padre de la carpeta donde se descargó originariamente el troyano:

• {CARPETA PADRE}\{8 CARACTERES ALEATORIOS}.{3 CARACTERES ALEATORIOS}

Crea a continuación la siguiente entrada del registro de Windows para ejecutarse de nuevo con cada reinicio del sistema:

  Clave:  HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32 
  Valor:  "aux" = "{CARPETA PADRE}\{8 CARACTERES ALEATORIOS}.{3 CARACTERES ALEATORIOS}" 

A continuación se inyecta a la siguiente API de Windows para ejecutarse con cada ejecución de nuevos procesos:

• kernel32!CreateProcessW

Evita que los procesos que contienen las siguientes cadenas de texto se ejecuten:

• .com
• .bat
• .reg
• cmd
• reged

El troyano tratará de borrarse a sí mismo si un proceso con alguna de las siguientes cadenas de texto es ejecutado:

• gmer
• le38

A continuación el troyano se inyecta en el archivo de la API de Windows %System%\ws2_32.dll para monitorizar el tráfico de red:

• recv
• send
• connect
• WSARecv
• WSASend

Nota: %System% es una variable que hace referencia al directorio del sistema de Windows.
Por defecto es C:\Windows\System (Windows 95/98/Me), C:\Winnt\System32 (Windows NT/2000), o C:\Windows\System32 (Windows XP).

El troyano redirige el tráfico de red de motores de búsqueda a sitios web que contienen "adware".

Bloquea el acceso a sitios web que continen las siguientes cadenas de texto:

• clamav
• mbam
• mcafee
• miekiemoes
• prevx

También bloquea el acceso a sitios web cuyo nombre de dominio empieza con alguna de las siguientes cadenas:

• Adob
• AVG
• AVPU
• CAUp
• COMO
• Enig
• ESS
• LIVE
• Live
• McHT
• NOD3
• Nort
• Pand
• SpyS
• SUPE
• Sy
• TMUF

El troyano tratará de borrarse a sí mismo si se accede a alguna URL que contiene la siguiente cadena de texto:

• DaonolFix

El troyano monitoriza el tráfico web y roba información de cuentas de FTP. Guarda la información robada en el siguiente fichero:

• %System% \sqlsodbc.chm

Nota: El archivo original %System%\sqlsodbc.chm es sobreescrito.

El troyano trata de descargar otro código malicioso.

Otros detalles

Puede encontrar un listado más completo de los alias asignados por los diferentes antivirus, en los siguientes enlaces de VirusTotal:

• VirusTotal MD5: 7de29e5e10adc5d90296785c89aeabce
• VirusTotal MD5: 2131112053ed144c46277b9024bcf39f

Arriba

Contramedidas