Plataforma:

Windows 2000, XP, Server 2003

 Riesgo general:
 Infección divulgada:
 Impacto en el sistema :
 Revelación de la información:
Bajo
Medio
High
Crítico

  • Tipo de malware
    Spyware

  • Destructivo?
    No

  • Cifrado
     

  • In the Wild:
    Sí

  Resumen y descripción



Puede haberlo infiltrado otro malware.
Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.
Agrega entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema.
Intenta robar la información que se utiliza para iniciar sesión en ciertos sitios Web de bancos y otras entidades financieras (p. ej. nombres de usuario y contraseñas).
Crea carpetas donde infiltra sus archivos.
Este malware se puede inyectar en los procesos que se ejecutan en la memoria.
Este malware modifica la configuración de zona de Internet Explorer.

  Detalles técnicos

Fecha de recepción de las muestras iniciales 01 enero 0001



Detalles de entrada


Puede haberlo infiltrado otro malware.


Puede haberlo descargado inadvertidamente un usuario mientras visitaba sitios Web maliciosos.



Técnica de inicio automático


Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
{GUID}={malware path and file name}



Puntos de infiltración


La información robada se carga en los sitios Web siguientes:

  • http://{BLOCKED}.215.101/sas/ttf.php



Puntos de infección


Puede haberse descargado desde los sitios remotos siguientes:

  • http://{BLOCKED}9.13.206/uk2/kl/uk-kl.exe



Robo de información


Accede al siguiente sitio para descargar su archivo de configuración:

  • http://{BLOCKED}9.13.206/uk2/kl/ukdase.db


El archivo descargado contiene información sobre dónde puede el malware descargar una copia actualizada de sí mismo y a dónde puede enviar los datos robados.


Intenta robar información de los siguientes bancos y/u otros organismos financieros:

  • Alliance & Leicester

  • Barclays

  • Cahoot

  • Capital One

  • Citibank

  • Clydesdale

  • Co-Operativebank

  • Ebay

  • Facebook

  • First Direct

  • HSBC

  • Halifax

  • ING Direct

  • Lloyds

  • Microsoft

  • Moneybookers

  • Myspace

  • Nationwide

  • Natwest

  • OSPM

  • Odnoklassniki

  • PayPal

  • RBS

  • Santander

  • Smile

  • Vkontakte

  • Yorkshire


Controla la actividad de Internet Explorer (IE) del sistema afectado, en particular la barra de direcciones. Recrea un sitio Web legítimo con una página de inicio de sesión falsa cuando un usuario visita sitios de banca con las siguientes cadenas en la barra de direcciones y/o barra de título:

  • !*.microsoft.com/*

  • !http://*myspace.com*

  • https://www.gruposantander.es/*

  • !http://*odnoklassniki.ru/*

  • !http://vkontakte.ru/*

  • @*/login.osmp.ru/*

  • @*/atl.osmp.ru/*

  • *login.yahoo.com*

  • *login.live.com*

  • http://www.facebook.com/index.ph*

  • https://www.hsbc.co.uk/1/2/*

  • https://www.hsbc.co.uk/1/2/personal/internet-banking/transfer*

  • *.hsbc.co.uk/1/2/personal/internet-banking/payments*

  • *.hsbc.co.uk/1/2/!ut/p/kcxml*QS_cmd_NewThirdPartyPaymentCommand*

  • *.hsbc.co.uk/1/2/personal/internet-banking/payment*

  • https://www.hsbc.co.uk/1/2/personal/internet-banking/transfer*

  • *.hsbc.co.uk/1/2/personal/internet-banking/recent-transactio*

  • *.hsbc.co.uk/1/2/personal/internet-banking/recent-transactio*

  • https://www.hsbc.co.uk/1/2/!ut/p/kcxml/*

  • *.hsbc.co.uk/1/2/*

  • *.hsbc.co.uk/1/2/*idv.CustomerMigration

  • https://www.hsbc.co.uk/1/2*

  • *www.hsbc.co.uk/1/2/!ut/p/kcxml*

  • *.hsbc.co.uk/1/2/personal*

  • https://www.hsbc.co.uk/1/2/!ut/p/kcxml/*cmd_InitialThirdPartyPaymentCommand=*

  • https://myonlineaccounts*.abbeynational.co.uk/CentralLogonWeb/MyPersonalHomepage*

  • https://service.oneaccount.com/*/OSV2?event=login&pt=3

  • https://www.365online.com/servlet/Dispatcher/login.htm

  • https://www.365online.com/servlet/Dispatcher/login2.htm

  • https://www.365online.com/servlet/Dispatcher/validate.htm

  • *coventrybuildingsociety.co.uk*

  • https://www.accessmycardonline.com/RBS_Consumer/*

  • https://www.nochex.com/*

  • */CapitalOne_Consumer/*

  • https://www.bankcardservices.co.uk/NASApp/NetAccessXX/*

  • https://my.if.com/_mem_bin/formslogin.asp*

  • https://olb2.nationet.com/MyAccounts/*

  • https://cardsonline-consumer.com/RBSG_Consumer/*

  • https://online-offshore.lloydstsb.com/*

  • https://onlinebanking.firsttrustbank.co.uk/*

  • https://secure.ingdirect.co.uk/InitialINGDirect.html*

  • https://database.acornmediauk.com/*

  • https://uk.virginmoney.com/virgin/service/credit-card/*

  • *npbs.co.uk*

  • https://*ulsterbankanytimebanking.*/login.aspx*

  • https://service.oneaccount.com/onlineV2/*viewPortal*

  • https://secure.natweststockbrokers.co.uk/nws-secure2/*

  • https://www.caterallenonline.co.uk/WebAccess.dll

  • https://myonlineaccounts3.abbeynational.co.uk/GPCC_ENS/BtoChannelDriver.ssobto*

  • https://www.edirectdebit.com/administration/client/logon.aspx

  • *commissioncontrol.net*

  • *tuxedomoney.com*

  • https://www.cardonebanking.com/auth*

  • https://*abbeynational.co.uk*

  • http*://*alliance-leicester.co.uk*

  • http*://*cbonline.co.uk*

  • http*://*co-operativebank.co.uk*

  • http*://*lloydstsb.co.uk*

  • http*://*smile.co.uk*

  • http*://*ybonline.co.uk*

  • https://www.paypal.com/*/cgi-bin/webscr?cmd=_account*

  • https://www.paypal.com/*/webscr?cmd=_login-done*

  • https://www.paypal.com/*/cgi-bin/webscr?cmd=*_account*

  • https://www.paypal.com/*/cgi-bin/webscr?cmd=_login-done*

  • https://www.citibank.co.uk/*/signon/uname/HomePage*

  • https://www.citibank.co.uk/*/portal/Index*

  • */my.ebay.*/*CurrentPage=MyeBayPersonalInfo*

  • */my.ebay.*/*

  • *.ebay.*/*eBayISAPI.dll?*

  • *.ebay.*/*eBayISAPI.dll?*

  • *.ebay.*/*eBayISAPI.dll?*

  • *.ebay.*/*eBayISAPI.dll?*

  • *.ebay.*/*eBayISAPI.dll?*

  • *.ebay.*/*eBayISAPI.dll?*

  • *.ebay.*/*eBayISAPI.dll?*

  • *.ebay.*/*eBayISAPI.dll?*

  • *.ebay.*/*eBayISAPI.dll?*

  • https://www.icicibank.co.uk/UKRET/BANKAWAY*

  • *.partnerandaffinitycards.co.uk/servicing/Logon.aspx?*

  • https://www.bankcardservices.co.uk/NASApp/NetAccessXX/AccountSnapshotScreen?acctID*

  • https://your.egg.com/customer/yourmoney.aspx

  • https://your.egg.com/customer/personaldetails/yourinformation.aspx

  • https://www.capitaloneonline.co.uk/*

  • https://*.banking.first-direct.com/1/2/balances*

  • https://secure.ingdirect.co.uk/INGDirect.html?command=displayClientAccountSummary*

  • https://olb2.nationet.com*

  • https://www.moneybookers.com/app/my_account.pl

  • https://www.365online.com/servlet/Dispatcher/*

  • https://ibank.cahoot.com/*

  • https://service.oneaccount.com/onlineV2/*

  • https://my.if.com/PlanReviewAct/plan.asp*

  • https://my.if.com/*

  • https://www*.banking.first-direct.com/1/2/*

  • https://www*.banking.first-direct.com/1/2/*

  • https://www*.banking.first-direct.com/1/2/*

  • https://*ibank.internationalbanking.barclays.com/*

  • https://ibank.internationalbanking.barclays.com/logon*

  • https://*ulsterbankanytimebanking.co.uk/*

  • https://home.cbonline.co.uk/ralu/loginmgr/partialPassword.ctl*

  • https://home.cbonline.co.uk/ralu/loginmgr/loginSetup.ctl*

  • https://home.ybonline.co.uk/ralu/loginmgr/partialPassword.ctl*

  • https://home.ybonline.co.uk/ralu/loginmgr/loginSetup.ctl*

  • https://welcome27.co-operativebank.co.uk/CBIBSWeb/*

  • https://welcome27.co-operativebank.co.uk/CBIBSWeb/passcode.do

  • https://welcome23.smile.co.uk/SmileWeb/*

  • https://welcome23.smile.co.uk/SmileWeb/passcode.do

  • *mybank.alliance-leicester.co.uk*

  • *mybank.alliance-leicester.co.uk/view_accounts/VA*

  • *mybank.alliance-leicester.co.uk/move_money/*MM*.asp*

  • *mybank.alliance-leicester.co.uk/your_payees/YP1point1a.asp*

  • https://online-business.lloydstsb.co.uk/customer.ibc*

  • https://online-business.lloydstsb.co.uk/logon.ibc

  • https://online-business.lloydstsb.co.uk/miheld.ibc

  • https://www.mybusinessbank.co.uk/cs70_banking/*

  • https://www.mybusinessbank.co.uk/cs70_banking/logon/logon/pmPassword

  • https://www.mybusinessbank.co.uk/cs70_banking/logon*

  • https://www.mybusinessbank.co.uk/cs70_banking/logon/sbuser/getPassword

  • https://www.mybusinessbank.co.uk/cs70_banking/logon/logon/enrollPassword

  • https://www.mybusinessbank.co.uk/cs70_banking/logon/logon/password

  • https://www.mybusinessbank.co.uk/cs70_banking/logon/challenge/submit

  • https://www.barclayswealth.com/login/action/logon/unauthenticated/personal/loginDetailsNotStored

  • https://www.barclayswealth.com/login/action/logon/unauthenticated/personal/loginSigning

  • https://www.bankline.coutts.com/CWSLogon/4P/CheckId.do

  • https://www.bankline.coutts.com/CWSLogon/4P/CheckPPPP.do

  • https://www.bankline.coutts.com/CWSLogon/*

  • https://welcome10.co-operativebankonline.co.uk/*security?*

  • https://ibank.cahoot.*/servlet/com.aquarius.security.authentication.servlet.LogonServlet*

  • https://cardservicing.tescofinance.com/RBSG_Consumer/UserLogin.do*

  • https://cardservicing.tescofinance.com/RBSG_Consumer/VerifyLogin.do*

  • https://online.islamic-bank.com/online/aspscripts/secret*.asp*

  • https://online.ybs.co.uk/public/authentication/login2.do*

  • https://home.ybonline.co.uk/ralu/loginmgr/partialPassword.ctl

  • https://home.ybonline.co.uk/ralu/loginmgr/loginQuestion.ctl

  • https://home.cbonline.co.uk/ralu/loginmgr/partialPassword.ctl

  • https://home.cbonline.co.uk/ralu/loginmgr/loginQuestion.ctl

  • https://www.business.hsbc.co.uk/1/2/online-services/accounts/account-list*

  • https://www.business.hsbc.co.uk/1/2/!ut/p/kcxml/04_Sj9SPykssy*

  • http://www.business.hsbc.co.uk/1/2/bib/personal

  • https://www.business.hsbc.co.uk/1/2/*dv_cmd=idv.Authenticat*

  • https://ibank.barclays.co.uk/*

  • https://ibank.barclays.co.uk/olb/*/Statement*

  • https://ibank.barclays.co.uk/olb/*/PersonalFinancialSummary.do?action=*

  • https://ibank.barclays.co.uk/olb/*/LoginTFA.do

  • https://ibank.barclays.co.uk/olb/*/SelectPaymentAccount.do?action=New+Payment||Pay+Someone

  • https://ibank.barclays.co.uk/olb/*/SelectPaymentAccount.do

  • https://ibank.barclays.co.uk/olb/*/NewPayee.do

  • https://ibank.barclays.co.uk/olb/*/PayBill2.do

  • https://ibank.barclays.co.uk/olb/*/PayBill3.do

  • https://ibank.barclays.co.uk/olb/*/PayBill3a.do

  • https://ibank.barclays.co.uk/olb/*/NewPaymentSuccess.do

  • *.banking.firstdirect.com*idv_cmd=idv.Authentication

  • *.banking.firstdirect.com/1/2/!ut/p/kcxml/04_Sj9SPykssy*

  • *.banking.firstdirect.com/1/2/!ut/p/kcxml/*

  • *rbsdigital.com/login.aspx*

  • *rbsdigital.com/AccountSummary.aspx

  • *nwolb.com/login.aspx*

  • *nwolb.com/AccountSummary.aspx

  • https://welcome27.co-operativebank.co.uk/CBIBSWeb/loginSpi.do

  • https://welcome27.co-operativebank.co.uk/CBIBSWeb/loginSpi.do

  • https://welcome27.co-operativebank.co.uk/CBIBSWeb/fundsTransferSummaryPrepare.do*

  • https://welcome27.co-operativebank.co.uk/CBIBSWeb/fundsTransferCreatePrepare.do*

  • https://welcome27.co-operativebank.co.uk/CBIBSWeb/passcode.do

  • https://www.bankline.rbs.com/CWSLogon/logon.do*

  • https://www.bankline.rbs.com/CWSLogon/4P/CheckId.do*

  • https://www.bankofscotlandhalifax-online.co.uk/CustomerAuthentication/*

  • https://*.bankofscotlandhalifax-online.co.uk/*

  • https://www.halifax-online.co.uk/CustomerAuthentication/*

  • https://*.halifax-online.co.uk/*

  • https://secure.lloydstsb.co.uk/personal/*

  • https://online.lloydstsb.co.uk/logon.ibc

  • https://secure.lloydstsb.co.uk/personal/*/logon/*ntermemorableinformation.jsp

  • https://secure.lloydstsb.co.uk/personal/a/account_details/*

  • https://secure.lloydstsb.co.uk/personal/a/viewproductdetails/ViewProductDetails.jsp?pnlTabpane=2&al=

  • https://online-business.lloydstsb.co.uk/standingorder.ibc*

  • https://online-business.lloydstsb.co.uk/actionaccount.ibc*SelectAction=standingorder.ibc



Instalación


Infiltra los archivos siguientes:

  • %Application Data%\{random1}\{random}.exe - copy of itself

  • %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file


Crea carpetas donde infiltra sus archivos.


Este malware se puede inyectar en los procesos que se ejecutan en la memoria.


Este malware se inyecta en los siguientes procesos que se ejecutan en la memoria:

  • ctfmon.exe

  • dwm.exe

  • explorer.exe

  • rdpclip.exe

  • taskeng.exe

  • taskhost.exe

  • wscntfy.exe



Otros detalles


Este malware modifica la configuración de zona de Internet Explorer.



Otras modificaciones del sistema


Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USERSoftwareMicrosoftInternet ExplorerPrivacy
CleanCookies=0



HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesSharedAccessParametersFirewallPolicyStandardProfileAuthorizedApplicationsList
%Windows%EXPLORER.EXE=%Windows%EXPLORER.EXE:*:Enabled:Windows Explorer



Información de variantes


Tiene los siguientes valores hash MD5:

  • 680063f9a7b3c8dd8440ec0a6dc316af


Tiene los siguientes valores hash SHA1:

  • afb58dc7dd6445026a648257616195374a9c44ab

  Soluciones

Motor de exploración mínimo 8.900


Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2
Explorar el equipo con su producto de Trend Micro y anotar los archivos detectados como TSPY_ZBOT.BYY

Step 3
Reiniciar en modo seguro
[ aprenda más ]


Step 4
Eliminar este valor del Registro Este paso permite eliminar el valor del Registro que el malware/grayware/spyware ha creado.

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Privacy
    • CleanCookies = 0
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {GUID} = {malware path and file name}
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • %Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer

Para eliminar el valor del Registro que este malware/grayware/spyware ha creado:

  1. Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
  2. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Privacy
  3. En el panel derecho, busque y elimine la entrada:
    CleanCookies = 0
  4. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
  5. En el panel derecho, busque y elimine la entrada:
    {GUID} = {malware path and file name}
  6. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile>AuthorizedApplications>List
  7. En el panel derecho, busque y elimine la entrada:
    %Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer
  8. Cierre el Editor del Registro.

Step 5
Restablecer la configuración de seguridad de Internet Este paso permite quitar las modificaciones que el malware/grayware/spyware ha realizado en la configuración de seguridad de Internet.

Para restablecer la configuración de seguridad de Internet:

  1. Cierre todas las ventanas del explorador de Internet.
  2. Abra el Panel de control. Para ello:
    • En Windows 98, ME, NT y 2000
    Haga clic en Inicio>Configuración>Panel de control.
    • En Windows XP y Server 2003
    Haga clic en Inicio>Panel de control.
  3. Haga doble clic en Opciones de Internet.
  4. En la ventana Propiedades de Internet, haga clic en la pestaña Seguridad.
  5. Por cada zona de contenido Web, haga clic en el botón Nivel predeterminado para establecer la configuración predeterminada de dicha zona.
  6. Haga clic en Aceptar.

Step 6
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TSPY_ZBOT.BYY En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Rellene nuestra encuesta!