TSPY_ZBOT.SMJV

Canale infezione: Descargado de Internet, Eliminado por otro tipo de malware

Puede haberlo infiltrado otro malware.

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Este malware modifica la configuración de zona de Internet Explorer.

Dimensione file: 141,312 bytes

Tipo di file: EXE

Residente in memoria: Sì

Data di ricezione campioni iniziali: 20 settembre 2012

Carica distruttiva: Connects to URLs/IPs, Collects system information, Compromises system security

Detalles de entrada

Puede haberlo infiltrado el malware siguiente:

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

%User Profile%\Application Data\{random1}\{random}.exe

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Infiltra los archivos siguientes:

%User Profile%\Application Data\{random2}\{random}.{random}
%User Profile%\Application Data\Microsoft\Address Book\winxp.wab
%User Profile%\Application Data\Microsoft\Address Book\winxp.wab~
%User Profile%\Application Data\{random2}\{random}.tmp

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Crea las carpetas siguientes:

%User Profile%\Application Data\{random1}
%User Profile%\Application Data\{random2}
%User Profile%\Application Data\Microsoft\Address Book

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

)

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%User Profile%\Application Data\{random1}\{random}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
{random}

HKEY_CURRENT_USER\Software\Microsoft\
WAB

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random} = "{hex values}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "0"

Modifica las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\0
1609 = "0"