TSPY_ZBOT.US

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Puntos de infección

Llega en forma de archivo descargado de las siguientes URL:

• http://www.{BLOCKED}ad.info/ldrzif2.exe

Instalación

A continuación crea el/los siguiente(s) archivo(s) no malicioso(s):

• %System%\wsnpoem\audio.dll - used to save the gathered information
• %System%\wsnpoem\video.dll - copy of the encrypted downloaded file

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Se introduce en los siguientes procesos que se ejecutan en la memoria del sistema afectado:

• winlogon.exe
• svchost.exe

Crea las siguientes carpetas con atributos configurados como Sistema y Oculto para impedir que los usuarios descubran y eliminen sus componentes:

• %System%\wsnpoem

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• __SYSTEM__91C38905__

Técnica de inicio automático

Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\ CurrentVersion\Winlogon
Userinit = %System%\Userinit.exe,%System%\ntos.exe,

(Note: The default value data of the said registry entry is "%System%\Userinit.exe,".)

Otras modificaciones del sistema

Este malware también crea la(s) siguiente(s) entrada(s) de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Network
UID = {computer name}_{random numbers}

Capacidades de rootkit

Además, este malware cuenta con capacidades de rootkit, que le permiten mantener sus procesos y archivos ocultos para el usuario.

Robo de información

Accede al siguiente sitio para descargar su archivo de configuración:

• http://www.{BLOCKED}ad.info/cfgzif2.bin

Su archivo de configuración contiene la siguiente información:

• URL to download an updated copy of itself
• URL to send stolen data
• list of targeted bank-related Web sites to monitor from which it steals information

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://www.{BLOCKED}ad.info/z2/s.php