Plataforma:

Windows 2000, XP, Server 2003

 Riesgo general:
 Infección divulgada:
 Impacto en el sistema :
 Revelación de la información:
Bajo
Medio
High
Crítico

  • Tipo de malware
    Spyware

  • Destructivo?
    No

  • Cifrado
     

  • In the Wild:
    Sí

  Resumen y descripción



Modifica las entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema.
Intenta robar la información que se utiliza para iniciar sesión en ciertos sitios Web de bancos y otras entidades financieras (p. ej. nombres de usuario y contraseñas).
Cuando los usuarios acceden a cualquiera de los sitios controlados, activa inicios de sesión.
Modifica las entradas de registro para desactivar la configuración del cortafuegos de Windows. Esta acción permite que el malware lleve a cabo sus rutinas sin ser detectado por el cortafuegos de Windows.

  Detalles técnicos




Detalles de entrada


Crea las siguientes carpetas con atributos configurados como Sistema y Oculto para impedir que los usuarios descubran y eliminen sus componentes:

  • %System%lowsec



Técnica de inicio automático


Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionWinlogon
Userinit=%System%userinit.exe, %System%sdra64.exe,

             (Nota: el valor predeterminado de la citada entrada de registro es %System%userinit.exe,).



Puntos de infección


Puede haberse descargado desde los sitios remotos siguientes:

  • http://{BLOCKED}nahui.cn/bot.exe



Robo de información


Intenta robar información de los siguientes bancos y/u otros organismos financieros:

  • AIB

  • ANZ

  • Alliance & Leicester

  • BBVA

  • BG Net Plus

  • Banca Intesa

  • Bancaja

  • Banco Herrero

  • Banco Pastor

  • Banco Popular

  • Banesto

  • Banif

  • Bank of America

  • Banque Populaire

  • Barclays

  • CCM

  • Caixa Girona

  • Caixa Laietana

  • Caixa Ontinyent

  • Caixa Sabadell

  • Caixa Tarragona

  • Caja Badajoz

  • Caja Canarias

  • Caja Circulo

  • Caja Granada

  • Caja Laboral

  • Caja Madrid

  • Caja Murcia

  • Caja Vital

  • Caja de Avila

  • Caja de Jaen

  • Cajarioja

  • Cajasol

  • Chase

  • Citibank

  • Citizens

  • Clavenet

  • Clydesdale

  • Co-Operativebank

  • DAB

  • E-Gold

  • Ebay

  • Fibanc Mediolanum

  • Fifth Third

  • First Direct

  • GAD

  • Gruppo Carige

  • HSBC

  • Halifax

  • IS Bank

  • IW Bank

  • Iside

  • Lloyds

  • Microsoft

  • Myspace

  • National City

  • Nationwide

  • Natwest

  • OSPM

  • Odnoklassniki

  • Openbank

  • PayPal

  • PosteItaliane

  • Procredit

  • Qui UBI

  • RBS

  • Rupay

  • Sabadell Atlantico

  • Santander

  • Scrigno

  • Secservizi

  • Smile

  • Suntrust

  • TD Canada Trust

  • US Bank

  • Ueberweisung

  • Unicaja

  • Uno-E

  • Wachovia

  • Washington Mutual

  • Webmoney Keeper Light

  • Wells Fargo

  • Yandex

  • Yorkshire


Cuando los usuarios acceden a cualquiera de los sitios controlados, activa inicios de sesión.


Este malware guarda la información robada en el archivo siguiente:

  • %System%lowsecuser.ds



Instalación


Crea copias de sí mismo en la carpeta del sistema de Windows y anexa códigos basura a las copias para dificultar su detección. Las copias utilizan los siguientes nombres de archivo:

  • sdra64.exe


Este malware infiltra los siguientes archivos no maliciosos:

  • %System%lowseclocal.ds

  • %System%lowsecuser.ds

  • %System%lowsecuser.ds.lll


Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

  • SVCHOST.EXE

  • WINLOGON.EXE



Otras modificaciones del sistema


Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINESOFTWAREMicrosoftWindows NTCurrentVersionNetwork
UID={Computer name}_{Random numbers}


Modifica las siguientes entradas de registro para desactivar la configuración del cortafuegos de Windows: $$DATA_REGISTRY$$



Información sustraída


Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

  • http://{BLOCKED}nahui.cn/game.php



Información de variantes


Tiene los siguientes valores hash SHA1:

  • 46c98d15425041d45cce11cf6c29b0c96167c578


Tiene los siguientes valores hash MD5:

  • 03490377076a776313a61c1a5f5b727d

  Soluciones

Motor de exploración mínimo 8.900
Archivo de patrones de VSAPI 7.424.01
Fecha de publicación de patrones de VSAPI 01 de julio de 0424
Fecha de publicación de patrones de VSAPI 7.424.01


Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2
Identificar y eliminar los archivos detectados como TSPY_ZBOT.BFZ mediante el disco de inicio o la Consola de recuperación
[ aprenda más ]


Step 3
Restaurar este valor del Registro modificado Este paso permite deshacer un cambio que el malware/grayware/spyware ha realizado en un valor del Registro.

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

 
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    • From: Userinit = %System%\userinit.exe, %System%\sdra64.exe,
      To: Userinit = %System%\userinit.exe,

Para restaurar el valor del Registro que este malware/grayware/spyware ha modificado:

  1. Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
  2. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon
  3. En el panel derecho, busque este valor del Registro:
    Userinit = %System%\userinit.exe, %System%\sdra64.exe,
  4. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
    Userinit = %System%\userinit.exe,
  5. Cierre el Editor del Registro.

Step 4
Eliminar este valor del Registro Este paso permite eliminar el valor del Registro que el grayware/spyware ha creado.

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
    • UID = {Computer name}_{Random numbers}
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • EnableFirewall = 0
    

Para eliminar el valor del Registro que este grayware/spyware ha creado:

  1. Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
  2. En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Network
  3. En el panel derecho, busque y elimine la entrada:
    DATA_TEXTBOX inar el valor del Registro que este grayware/spyware ha creado:

    1. Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
    2. En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
      HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile
    3. En el panel derecho, busque y elimine la entrada:
      DATA_TEXTBOX
    4. Cierre el Editor del Registro.

    Step 5
    Buscar y eliminar esta carpeta Este paso permite buscar y eliminar la carpeta que este malware/grayware/spyware ha creado. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas. %System%lowsec

    Para eliminar la carpeta de malware/grayware/spyware:

    1. Haga clic con el botón derecho en Inicio y haga clic en Buscar....
    2. En el cuadro de entrada Nombre, escriba:
        %System%lowsec
    3. En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
    4. Una vez haya encontrado la carpeta, selecciónela y, a continuación, pulse MAYÚS+SUPR para eliminarla definitivamente.

    Step 6
    Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TSPY_ZBOT.BFZ En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Rellene nuestra encuesta!