TSPY_ZBOT.BWF

Crea carpetas donde infiltra sus archivos. Este malware se puede inyectar en los procesos que se ejecutan en la memoria.

Abre puertos aleatorios.

Puntos de infección

Llega en forma de archivo descargado de las siguientes URL:

• http://{BLOCKED}oong.ru/bin/saejuogi.exe

Instalación

Crea carpetas donde infiltra sus archivos.

Este malware se inyecta en los siguientes procesos que se ejecutan en la memoria:

• ctfmon.exe
• dwm.exe
• explorer.exe
• rdpclip.exe
• taskeng.exe
• taskhost.exe
• wscntfy.exe

Este malware se puede inyectar en los procesos que se ejecutan en la memoria.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = {malware path and file name}

Infiltra los archivos siguientes:

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Otras modificaciones del sistema

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\\Explorer.exe = %Windows%\Explorer.exe:*:Enabled:Windows Explorer

Rutina de puerta trasera

Abre un puerto aleatorio para que un usuario remoto pueda conectarse al sistema afectado. Una vez se ha establecido la comunicación correctamente, el usuario remoto ejecuta los comandos en el sistema afectado.

Robo de información

Accede al siguiente sitio para descargar su archivo de configuración:

• http://{BLOCKED}yeew.ru/bin/saejuogi.bin
• http://{BLOCKED}aepo.ru/bin/saejuogi.bin
• http://{BLOCKED}yeew.ru/bin/saejuogi.bin
• http://{BLOCKED}aepi.ru/bin/saejuogi.bin
• http://{BLOCKED}ejae.ru/bin/saejuogi.bin
• http://{BLOCKED}ushi.ru/bin/saejuogi.bin
• http://{BLOCKED}fech.ru/bin/saejuogi.bin
• http://{BLOCKED}ilei.ru/bin/saejuogi.bin

El archivo descargado contiene información sobre dónde puede el malware descargar una copia actualizada de sí mismo y a dónde puede enviar los datos robados.

Tiene como objetivo los siguientes sitios web:

• http*scripts/injScp.js*
• http://oyehai.ru/script.js
• https://www.commerzbanking.de/*/pgf.html*
• https://www.commerzbanking.de/*/cowis.js*
• https://meine.deutsche-bank.de/*
• https://meine.deutsche-bank.de/*/javascript/global.js*
• https://www.dresdner-privat.de/servlet/P/SSA*do*
• https://www.dresdner-privat.de/SSA_MLS_JAVASCRIPT/mlsgeneral.js*
• https://finanzportal.fiducia.de/*/entry*
• https://finanzportal.fiducia.de/*/portal*
• https://internetbanking.gad.de/ptlweb/WebPortal*
• https://internetbanking.gad.de/images/Ib.js*
• https://my.hypovereinsbank.de/login*
• https://my.hypovereinsbank.de/js/portal.js*
• https://banking.postbank.de/app/welcome.do*
• https://banking.postbank.de/app/login.do*
• https://banking.postbank.de/app/static/js/script.js*
• *.de/portal/portal/*
• https://www.targobank.de/de/*cgi*
• https://www.targobank.de/de/javascript/funcs_global.js*
• https://www.bbvanetoffice.com/BBVANETOFFICE/promocion*
• https://www.bbvanetoffice.com/promocion*
• https://www.bbvanetoffice.com/BBVANETOFFICE/bbvanetoffice/bienvenida*
• https://ing.ingdirect.es/W/Transactional/faces/selectOption?select_op=initLogin*
• https://ing.ingdirect.es/W/Transactional/adf/js/jquery-latest.js*
• https://www.caixapenedes.com*
• https://www.caixapenedes.com/js/niftycube.js
• *ruralvia.com/isum/*login*
• https://ww3.deutsche-bank.es/pbct/login.*
• https://ww3.deutsche-bank.es/db24online/js/login/eStara.js
• https://ww3.deutsche-bank.es/pbct/login*
• https://ww3.deutsche-bank.es/pbct/NetiServlet?neti_id=navigation.bottom*
• https://www.caixacatalunya.com/CDA/caixacat/es/ccpublic/particulars/Home/OthHomePageCas/0,1217,,00.html
• https://www.caixacatalunya.com/NASApp/ceconline/index.jsp*
• https://www.barclays.es/publico/contents/*jsp*
• https://www.barclays.es/publico/js/TextEngine.js
• https://www.sabadellatlantico.com*
• *cajaespana.net*
• https://www.cajaespana.net/convivencia/siglo21/estandar/recursos/tecladovirtual.js
• https://www.solbank.com*
• https://enlinea.cajasur.es/BEWeb/2024/4024/inicio_identificacion.action*
• https://enlinea.cajasur.es/4024/js/loginPin.js*
• https://cajaelectronica.caja-granada.es/BEWeb/2031/2031/inicio_identificacion.action*
• https://cajaelectronica.caja-granada.es/2031/js/MOD3.js*
• https://cajaelectronica.caja-granada.es/BEWeb/2031/2031/not5801_d_COMUN.action?OPERACION=*
• https://activa24.ccm.es/BEWeb/2105/6105/inicio_identificacion.action*
• https://activa24.ccm.es/6105/js/comunBEWEB.js*
• https://be.cajamurcia.es/6043/js/LOGIN2_PORTAL.js
• https://be.cajamurcia.es/BEWeb/2043/6043/inicio_identificacion.action
• https://be.cajamurcia.es/6043/js/MOD3.js
• https://soldirecto.cajasoldirecto.es/2106/js/incluyeDomain.js*
• https://soldirecto.cajasoldirecto.es/BEWeb/2106/2106/inicio_identificacion.action*
• https://soldirecto.cajasoldirecto.es/BEWeb/2106/2106/inicio_identificacion.action*
• https://soldirecto.cajasoldirecto.es/BEWeb/2106/2106/psINICm_0.action*
• https://www.uno-e.com/local_bdnt_unoe/Login_unoe2.html*
• https://www3.altamiraonline.com/AltamiraOnLineWeb/Sesion*
• https://www3.altamiraonline.com/AltamiraOnLineWeb/src/canalInet/md5.js*
• https://pastornet*.bancopastor.es/SrPd*
• *bankinter.com*utils.js*
• *bankinter.com*gzinflate.js.php*
• *bankinter.com/www/es-es/cgi/*+home
• https://oficina24hores.caixagirona.es/BEWeb/2030/1030/inicio_identificacion.action*
• https://oficina24hores.caixagirona.es/*/Js/MOD3.js*
• https://telematic.caixamanlleu.es/ISMC/*/acceso.jsp*
• https://telematic.caixamanlleu.es/ISMC/*/js/teclat.js*
• https://be.homecem.com/BEWeb/*/login_identificacion*
• https://be.homecem.com/2041/js/comunBEWEB.js*
• https://www.caixaterrassa.es/SESSIONS/SFObe*
• https://enlaza.cajadeburgos.es/BELLogin.jsp*
• https://www.cajalaboral.*/home/acceso.asp
• https://www.cajamar.es*
• https://cajasturdirecto.cajastur.es/BEWeb/2048/*/inicio_identificacion.action*
• https://cajasturdirecto.cajastur.es/*/js/MOD3.js*
• https://cajasturdirecto.cajastur.es/BEWeb/2048/*/portal_inicio_identificacion.action*
• https://empresas.gruposantander.es/WebEmpresas/*
• *iurisbank.com/isum/*login*
• https://www.unicaja.es/*

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}ushi.ru/y93/_gate.php

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

• Hooks the following APIs to intercept data that the system sends and receives:
  
  • ntdll.dll:
  • NtCreateThread
  • LdrLoadDll
  • kernel32.dll:
  • GetFileAttributesExW
  • WS2_32.dll:
  • send
  • WSASend
  • closesocket
  • USER32.dll:
  • TranslateMessage
  • GetClipboardData
  • WININET.dll:
  • InternetCloseHandle
  • HttpSendRequestA
  • HttpQueryInfoA
  • InternetReadFile
  • InternetQueryDataAvailable
  • HttpSendRequestExW
  • InternetReadFileExA
  • HttpSendRequestW
  • HttpSendRequestExA
• Intercepts data to and from Mozilla Firefox by hooking the following APIs:
  
  • nspr4.dll:
  • PR_OpenTCPSocket
  • PR_Close
  • PR_Read
  • PR_Write
• Steals private keys from certificates by hooking the following API:
  
  • CRYPT32.dll:
  • PFXImportCertStore
• Take screenshots
• Logs keystrokes

Información de variantes

Tiene los siguientes valores hash MD5:

• a61732d6519a6530691d9fb56912ca57

Tiene los siguientes valores hash SHA1:

• 4718ad5bbd3d5292bf3039c4955864931e6e48c8