BKDR_ZBAL.B

Este malware no tiene ninguna rutina de propagación.

Ejecuta comandos desde un usuario remoto malicioso que pone en peligro el sistema afectado. Se conecta a un sitio Web para enviar y recibir información.

Instalación

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %Application Data%\{GUID}\{random 1}.dat
• %Application Data%\{GUID}\{random 2}.dat
• %Application Data%\{GUID}\{random 3}.dat
• %Application Data%\{GUID}\{random 4}.dat
• %Application Data%\{GUID}\{random 5}.dat

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las siguientes copias de sí mismo en el sistema afectado:

• %Application Data%\{GUID}\{random}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega los procesos siguientes:

• svchost.exe

Crea las carpetas siguientes:

• %Application Data%\{GUID}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• explorer.exe
• Added svchost.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{GUID}\{random}.exe"

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Ejecuta los comandos siguientes desde un usuario remoto malicioso:

• Enumerate Process
• Create\Terminate Process
• Download and execute\load arbitrary files
• Create\Delete Directory
• Update Itself
• Unintall itself
• Update Config
• Block and Unblock URL
• Grab FTP, Cookies, Certificates,POP
• Upload Information
• Perform Remote Control
• Add, Delete, or Edit Registry
• Create, Open, or Edit File
• Execute file

Se conecta a los sitios Web siguientes para enviar y recibir información:

• http://{BLOCKED}id.com/adminta/forum.php
• http://{BLOCKED}ox.com/adminta/forum.php
• http://{BLOCKED}odfm.com/adminta/forum.php
• http://{BLOCKED}m.com/adminta/forum.php

Robo de información

Recopila los siguientes datos:

• Disk Serial Number
• Host's Name
• Default Language