TSPY_ZBOT.THOIBDAI

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Roba determinada información del sistema y/o del usuario.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\{second deepest directory path}\{random filename}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Local\{GUID}
• Global\{GUID}

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
{random registry key name}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV8 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnonBadCertRecving = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
EnableSPDY3_0 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
{random registry key name}
{random registry entry name} = "{hex value}"

Rutina de infiltración

Infiltra los archivos siguientes:

• %User Temp%\tmp{random}.bat - Used to delete initially executed copy of itself
• %Application Data%\{deepest directory path}\{random filename 1}.{random file extension 1}
• %Application Data%\{deepest directory path}\{random filename 2}.{random file extension 2}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Robo de información

Accede al siguiente sitio para descargar su archivo de configuración:

• http://{BLOCKED}y.su/anime.jpg
• http://{BLOCKED}p.su/girls.jpg

Roba la siguiente información:

• Data on cookie files (URLs)
• Email-related information such as account names, email addresses, passwords, server data, and server port
• Email information stored in the user's Windows Address Book (WAB) file
• Online banking credentials
• Personal digital certificate