El troyano, desarrollado en el lenguaje de programación Visual Basic, se presenta como un ejecutable para Windows.
Cuando se ejecuta el troyano, realiza una copia de sí mismo en la carpeta temporal de Windows bajo el nombre de win32.exe.
A continuación el troyano ejecuta la copia win32.exe, que se encarga de eliminar el ejecutable original (postal.exe), que desaparece ante la vista del usuario, y el archivo hosts de Windows. En un sistema Windows XP por defecto lo encontraríamos en la ruta:
C:\WINDOWS\system32\drivers\etc\hosts
El troyano crea otro archivo hosts, en el mismo directorio, con el siguiente contenido:
En ese momento finaliza la ejecución del troyano, que no queda residente ni se ejecuta nuevamente tras reiniciar el sistema. El fin del troyano es únicamente la modificación del archivo hosts de Windows para introducir las 4 líneas que aparecen en la captura anterior.
Mediante esta técnica, el troyano realiza lo que se denomina como "pharming local". A partir de la modificación del archivo hosts, cuando el usuario intente visitar las páginas web del BBVA Banco Continental de Perú, en vez de ir al sitio web original su ordenador resolverá el dominio a un servidor web situado en la IP 201.166.121.113.
En ese servidor los atacantes alojan una página de phishing que simula la web original del banco, de esta forma consiguen capturar el usuario y claves de acceso a la cuenta bancaria del usuario, para una posterior suplantación de identidad y uso fraudulento.
|
