Cuando el troyano se ejecuta crea una copia de si mismo con el nombre "scvhost.exe" dentro de la siguiente carpeta:
C:\Windows\System
También crea los siguientes archivos:
C:\Windows\System\wsock32.sys
C:\Windows\System\ckl009.dat
De acuerdo a la versión del sistema operativo, las carpetas "c:\windows" y "c:\windows\system32" pueden variar ("c:\winnt", "c:\winnt\system32", "c:\windows\system").
El troyano se ejecuta en segundo plano y espera comandos de un atacante remoto a traves de un puerto TCP especifico.
|
