TSPY_ZBOT.BEZ

Cuando los usuarios acceden a cualquiera de los sitios controlados, activa inicios de sesión. Intenta robar la información que se utiliza para iniciar sesión en ciertos sitios Web de bancos y otras entidades financieras (p. ej. nombres de usuario y contraseñas).

Este malware intenta obtener información de una lista de bancos u organismos financieros.

Puntos de infección

Llega en forma de archivo descargado de las siguientes URL:

• http://www.{BLOCKED}lc.com/{BLOCKED}ance/k0nyara.exe

Instalación

Crea copias de sí mismo en la carpeta del sistema de Windows y anexa códigos basura a las copias para dificultar su detección. Las copias utilizan los siguientes nombres de archivo:

• sdra64.exe

Este malware infiltra los siguientes archivos no maliciosos:

• %System%\lowsec\local.ds - copy of the encrypted downloaded file
• %System%\lowsec\user.ds - used to save the gathered information

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Crea las siguientes carpetas con atributos configurados como Sistema y Oculto para impedir que los usuarios descubran y eliminen sus componentes:

• %System%\lowsec

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• _AVIRA_2108
• _AVIRA_2109

Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

• SVCHOST.EXE
• WINLOGON.EXE

Técnica de inicio automático

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, %System%\sdra64.exe,

(Note: The default value data of the said registry entry is %System%\userinit.exe,.)

Otras modificaciones del sistema

Este malware también crea la(s) siguiente(s) entrada(s) de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Network
UID = {Computer name}_{Random numbers}

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

(Note: The default value data of the said registry entry is .)

Robo de información

Accede al siguiente sitio para descargar su archivo de configuración:

• http://www.{BLOCKED}lc.com/zebradance/mpj.bin
• http://{BLOCKED}erveadv.ru/mp/cfg.bin
• http://{BLOCKED}gera.ru/mp/cfg.bin
• http://{BLOCKED}orooo.ru/mp/cfg.bin
• http://{BLOCKED}cco.ru/mp/cfg.bin
• http://{BLOCKED}sayme.ru/mp/cfg.bin
• http://{BLOCKED}enter-ooo.ru/mp/cfg.bin
• http://{BLOCKED}ctsys.ru/mp/cfg.bin
• http://{BLOCKED}rver01.ru/mp/cfg.bin
• http://{BLOCKED}isticsadv.ru/mp/cfg.bin

Cuando los usuarios acceden a cualquiera de los sitios controlados, activa inicios de sesión.

El archivo descargado contiene información sobre dónde puede el malware descargar una copia actualizada de sí mismo y a dónde puede enviar los datos robados.

Tenga en cuenta que el contenido del archivo, y por tanto la lista de sitios web, puede cambiar en cualquier momento.

Intenta robar información de los siguientes bancos y/u otros organismos financieros:

• Bank of America
• Barclays
• Citibank
• Clydesdale
• First Direct
• HSBC
• Lloyds
• Nationwide
• Navy Federal Credit Union
• USAA
• Yorkshire

Entidades atacadas

Este malware intenta obtener información de una lista de bancos u organismos financieros.

Información sustraída

Este malware guarda la información robada en el archivo siguiente:

• %System%\lowsec\user.ds

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://www.{BLOCKED}lc.com/{BLOCKED}ance/gAmLest0ntt.php

Otros detalles

No mostró rutinas de puerta trasera durante la prueba.

Información de variantes

Tiene los siguientes valores hash MD5:

• 37b602877646a89125751a5e58e3066c

Tiene los siguientes valores hash SHA1:

• 040f77fae3f8386f62327c37df5cb8211ea1079d