TSPY_ZBOT.KKJ
PWS:Win32/Zbot (Microsoft), Trojan-Spy.Win32.Zbot.ebwa (Kaspersky), Infostealer (Symantec), PWS-Zbot.gen.agr (NAI), Troj/Agent-WVA (Sophos), Trojan.Win32.Generic!BT (Sunbelt), TR/Spy.ZBot.ebwa.1 (Antivir), W32/Zbot.FT.gen!Eldorado (Authentium), Gen:Variant.Graftor.36069 (Bitdefender), W32/Krypt.AAOD!tr (Fortinet), W32/Zbot.FT.gen!Eldorado (generic, not disinfectable) (Fprot), Trojan-Spy.Win32.Zbot (Ikarus), Win32/Spy.Zbot.AAO trojan (NOD32), Generic (Panda), TrojanSpy.Zbot.ebwa (VBA32)
Windows 2000, Windows XP, Windows Server 2003
Tipo de malware
Spyware
Destructivo?
No
Cifrado
In the Wild:
Sí
Resumen y descripción
Crea carpetas donde infiltra sus archivos.
Este malware modifica la configuración de zona de Internet Explorer.
Detalles técnicos
Instalación
Este malware infiltra el/los siguiente(s) archivo(s):
- %User Profile%\Application Data\{random folder 1}\{random filename}.exe - detected as TSPY_ZBOT.KKJ
- %User Profile%\Application Data\{random folder 2}\{random filename and extension}
- %User Profile%\Application Data\{random folder 3}\{random filename and extension}
(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).
)Crea carpetas donde infiltra sus archivos.
Crea las carpetas siguientes:
- %User Profile%\Application Data\{random folder 1}
- %User Profile%\Application Data\{random folder 2}
- %User Profile%\Application Data\{random folder 3}
(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).
)Técnica de inicio automático
Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = "%User Profile%\Application Data\{random folder 1}\{random file name}.exe"
Otras modificaciones del sistema
Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"
Modificación de la página de inicio y de la página de búsqueda del explorador Web
Este malware modifica la configuración de zona de Internet Explorer.