TSPY_ZBOT.KNK
Trojan-Spy.Win32.Zbot.eqph (Kaspersky), Troj/Zbot-CMA (Sophos), Gen:Variant.Zusy.17004 (Fsecure), Trojan.Win32.Generic!BT (Sunbelt), Gen:Variant.Zusy.17004 (Bitdefender), Trojan-Spy.Win32.Zbot (Ikarus), Win32/Spy.Zbot.YW trojan (NOD32), TrojanSpy.Zbot.eqph (VBA32)
Windows 2000, Windows XP, Windows Server 2003
Malware-Typ:
Spyware
Zerstrerisch?:
Nein
Verschlsselt?:
In the wild::
Ja
Überblick
Ändert Zoneneinstellungen von Internet Explorer.
Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.
Technische Details
Installation
Schleust eine Kopie von sich selbst in folgende Ordner ein, wobei verschiedene Dateinamen verwendet werden:
- %User Profile%\Application Data\{Random Folder 1}\{Random Filename}.exe
(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)
Schleust folgende nicht bösartige Datei ein:
- %User Profile%\Application Data\{Random Folder 2}\{Random Filename and Extension}
- %User Profile%\Application Data\{Random Folder 3}\{Random Filename and Extension}
(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)
Erstellt die folgenden Ordner:
- %User Profile%\Application Data\{Random Folder 1}
- %User Profile%\Application Data\{Random Folder 2}
- %User Profile%\Application Data\{Random Folder 3}
(Hinweis: %User Profile% ist der Ordner für Benutzerprofile des aktuellen Benutzers, normalerweise C:\Windows\Profile\{Benutzername} unter Windows 98 und ME, C:\WINNT\Profile\{Benutzername} unter Windows NT und C:\Dokumente und Einstellungen\{Benutzername} unter Windows 2000, XP und Server 2003.)
Autostart-Technik
Fügt folgende Registrierungseinträge hinzu, um bei jedem Systemstart automatisch ausgeführt zu werden.
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random characters} = %User Profile%\Application Data\{Random Folder 1}\{Random Filename}.exe
Andere Systemänderungen
Erstellt den oder die folgenden Registrierungseinträge, um die Windows Firewall zu umgehen:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = %Windows%\explorer.exe:*:Enabled:Windows Explorer
Änderung der Startseite von Webbrowser und Suchseite
Ändert Zoneneinstellungen von Internet Explorer.
Download-Routine
Zum Zeitpunkt der Fertigstellung dieses Dokuments sind die erwähnten Sites jedoch nicht zugänglich.