El caballo de troya "PSW.Maran.EI." roba contraseñas y otra información

royano del tipo PSW (abreviatura de password o contraseña), capaz de obtener información del usuario y del equipo infectado. Ello incluye contraseñas, nombres de usuario, y cualquier información confidencial que la víctima haya ingresado en cualquier página o documento a través del teclado.

El troyano no se propaga por si mismo. Puede llegar a nuestro PC al ser copiado manualmente en el sistema, o al ser descargado intencionalmente o mediante engaños de algún sitio malicioso, o de redes de intercambio de archivos P2P.

Un usuario malintencionado, también podría enviar el troyano a su víctima en un mensaje electrónico individual o masivamente por medio de spam a otros usuarios.

Otros malwares también podrían descargarlo y ejecutarlo en un sistema infectado.

Al ejecutarse, el troyano busca la presencia de una ventana oculta que él mismo crea (si se ejecutó antes). Si detecta dicha ventana, no hará absolutamente nada más.

Si dicha ventana oculta existe, entonces examina la existencia de una entrada en la clave del registro HKEY_LOCAL_MACHINE \SOFTWARE \Microsoft \Windows \CurrentVersion \Run.

Si no existe, se copia en el sistema:

c:\windows\system32\[nombre].exe

Crea la siguiente entrada en el registro para autoejecutarse en cada reinicio de Windows:

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
[nombre] = "c:\windows\system32\[nombre].exe"

Cambia la página de inicio del Internet Explorer por "about:blank"

El troyano intenta borrar también las siguientes entradas del registro:

\Software\Microsoft\Windows\CurrentVersion
\Policies\Network\HideSharePwds

\Software\Microsoft\Windows\CurrentVersion
\Policies\Network\DisablePwdCaching

\.DEFAULT\Software\Microsoft\Windows
\CurrentVersion\Policies\Network\HideSharePwds

\.DEFAULT\Software\Microsoft\Windows
\CurrentVersion\Policies\Network\DisablePwdCaching

El troyano crea una ventana oculta y permanece residente en memoria.

Captura información del equipo infectado (contraseñas de accesos remotos discados, caché de contraseñas de Windows, nombre del host, nombre de usuario y dirección IP), y cada cierta cantidad de tiempo o cuando detecta una conexión a Internet, envía dicha información a un usuario remoto vía correo electrónico.