Club1X2 .NET

Si el usuario abre el documento adjunto, el troyano instala un componente más que permitirá a extraños acceder al equipo remotamente.

Tras hacer esto, muestra un mensaje de error, cierra automáticamente el Microsoft Word, y reemplaza el documento que estaba infectado por otro limpio para cubrir los rastros.

El troyano hace un reconocimiento exhaustivo de qué tenemos en nuestro sistema, y se conecta periódicamente a un servidor localizado en Asia para informar que está activo y que ya puede recibir comandos.

Una segunda variante de este troyano, detectada como Win32/Ginwui.B, también fue detectada pocas horas después, y solamente tiene leves modificaciones cosméticas.

Normalmente, un documento de Microsoft Word conteniendo código malicioso debería ser bloqueado a través de las funcionalidades de seguridad del propio Word, pero en este caso, el troyano se vale de un agujero de seguridad nuevo y no corregido aún por Microsoft, quien anunció que lanzaría una actualización de seguridad para esta vulnerabilidad en la próxima liberación programada, aproximadamente prevista para el 13 de Junio.

No solamente entra en nuestro sistema de forma oculta y sin ser detectado, sino que también intenta mantenerse de esta manera tras haberse instalado.

Win32/Ginwui tiene características de rootkit, funcionando de manera que los archivos que instale en el sistema, así como las modificaciones que realice no sean detectados.