Recebi um e-mail interessante do meu amigo Kevin "Siegfried" Fernandez, no qual ele dizia que tinha um "applet java" estranho no site da OI para envio de torpedos. Ao acessar o site, para enviar um torpedo, seu sistema acusou a tentativa de execução de um arquivo java, que supostamente queria instalar o Flash Player 11, sendo que a versão atual é a 10.0.12.36.
Entrei no site da OI e vi que o código havia sido removido do html, mas os arquivos .jar ainda estavam hospedados no servidor, então decidi baixar os arquivos, e executar o vírus.

Dentro do arquivo Jar, tem um arquivo chamado de "isso.class", nele tem os dados para download do suposto flash 11, que na verdade, é o arquivo responsável pelo download das outras partes do vírus.
Uma das linhas continha o endereço para download
http://69.X.X..X/download/FlashPlayer.exe
E como ele deverá ser salvo para ser executado java/io/File >c:\FlashPlayer15.exe.
Assim que esta ferramenta se instala ele começa o download de outro arquivo a.dar dentro tem o arquivo ddass.exe...

Depois de terminado o download deste segundo arquivo, duas linhas são adicionadas ao registro do Windows para iniciar o vírus junto com o boot do sistema.
Dentro de HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run são criadas as chaves:
ddass com o valor  C:\Arquivos de programas\\ddtabases\ddass.exe
e
Windows32 como o valor c:\windows\system\system.exe

Dentro da pasta "arquivos de programas", onde o arquivo ddass fica "instalado" também é criado um arquivo chamado de ddas33.log 

Este arquivo ddass.exe é o responsável pela alteração do arquivo hosts do windows adicionando as seguintes linhas:
#16
208.96.20.49 www.itau.com.br
208.96.20.49 www.itaupersonnalite.com.br
208.96.20.49 www.itauprivatebank.com.br
208.96.20.49 itau.com
208.96.20.49 itau.com.br
208.96.20.49 bankline.itau.com.br
208.96.20.50 www.santander.com.br
208.96.20.50 santander.com.br
#BUSTER
200.234.220.13 imagem.caixa.gov.br
200.234.220.13 www5.infoseg.gov.br

Como esta mudança, assim que um usuário digitar algum dos endereços como por exemplo o do banco Itaú, o site que irá aparecer é um site clonado e não o site verdadeiro da instituição.
Com isto o usuário irá fornecer seus dados reais a um site falso, o qual o phisher irá acessar para pegar as informações bancária dos correntistas que forem vítimas deste golpe.
Dentro do host onde está arquivado o vírus tem vários arquivos php onde o responsável vê a quantidade de pessoas que pegaram o vírus e quantos nformações bancárias estão disponíveis para ele.