17 settembre 2012

Al secondo posto tra le minacce più diffuse sui computer degli utenti, per alcuni mesi stava il trojan BackDoor.Butirat.91. Gli specialisti di Doctor Web — sviluppatore russo di software antivirale — hanno analizzato il programma malevolo e vorrebbero far conoscere agli utenti i risultati di quest’analisi.

BackDoor.Butirat.91 è un cavallo di troia - backdoor che consente di scaricare e avviare sul computer infetto file eseguibili, nonché di rubare password di client FTP popolari. I malintenzionati possono impossessarsi di informazioni riservate dell’utente e prendere il completo controllo del computer infetto.

Al momento di avvio, il malware si rivolge al registro di sistema di Windows per accertarsi che una sua copia non sia già installata. Se BackDoor.Butirat.91 è già installato sul PC infetto, il processo di installazione non si avvia. Se l’installazione si è avviata, BackDoor.Butirat.91 crea una sua copia in una delle cartelle di sistema e modifica il registro affinché il trojan si avvii automaticamente al caricamento di Windows.

Come data warehouse, il trojan usa un file speciale, locato nella stessa cartella dove si trova il programma malevolo. Una volta avviato, il trojan stabilisce una connessione con il server remoto per ottenere comandi cifrati. Uno degli scopi principali di BackDoor.Butirat.91 è rubare e consegnare ai malintenzionati password di client FTP popolari, per esempio FlashFXP, Total Commander, Filezilla, FAR, WinSCP, FtpCommander e SmartFTP. Inoltre il trojan può scaricare da host remoti e lanciare sulla macchina infetta file eseguibili e anche imbrogliare con contatori visite di vari siti web. Il trojan cerca di scaricare un file, designato dai malintenzionati, tre volte, aspettando 60 secondi dopo ogni tentativo.

Per gli utenti dei nostri prodotti BackDoor.Butirat.91 non è pericoloso perché le definizioni opportune sono presenti nelle basi di dati antivirali Dr.Web. Tuttavia, data la considerevole diffusione del trojan, si consiglia di eseguire un controllo del computer tramite lo scanner antivirale o con l’utilità di riparo Dr.Web CureIt!.