TSPY_ZBOT.YYDBZ

Este malware no tiene ninguna rutina de propagación.

Este malware no tiene ninguna rutina de puerta trasera.

Roba determinada información del sistema y/o del usuario.

Este malware se elimina tras la ejecución.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %User Temp%\{random folder name}\{random filename 1}.exe

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Este malware infiltra el/los siguiente(s) archivo(s)/componente(s):

• %System%\drivers\{random filename 2}.sys - detected as RTKT_NECURS.RBC

(Nota: %System% es la carpeta del sistema de Windows, que en el caso de Windows 98 y ME suele estar en C:\Windows\System, en el caso de Windows NT y 2000 en C:\WINNT\System32 y en el caso de Windows XP y Server 2003 en C:\Windows\System32).

Este malware infiltra los siguientes archivos no maliciosos:

• %AppDataLocal%\{random filename 3}.{random extension}

Crea las carpetas siguientes:

• %User Temp%\{random folder name}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Local\{GUID}
• Global\{GUID}

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• explorer.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename 1} = "%User Temp%\{random folder name}\{random filename 1}.exe"

Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
DisplayName = "{random filename 1}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
ImagePath = "\??\%System%\drivers\{random filename 2}.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
Start = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}\Security
Security = "{hex value}"

Registra el componente infiltrado como servicio del sistema para garantizar su ejecución automática cada vez que arranque el sistema. Para ello, crea las siguientes claves de registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}\Security

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
{random}

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{random port 1}:UDP = "{random port 1}:UDP:*:Enabled:UDP {random port 1}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{random port 2}:TCP = "{random port 2}:TCP:*:Enabled:TCP {random port 2}"

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Este malware no tiene ninguna rutina de puerta trasera.

Robo de información

Roba la siguiente información:

• Data on cookie files (URLs)
• Email-related information such as account names, email addresses, passwords, server data, and server port
• Email information stored in the user’s Windows Address Book (WAB) file
• Online banking credentials
• Personal digital cerificate

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}wslxpvvphxnjij.biz
• http://{BLOCKED}uzllfeyhcuzddpfafuyp.ru
• http://{BLOCKED}buzttmrciuomjwrcjr.info
• http://{BLOCKED}dmzswgexoqzlfaddqvgjuw.biz
• http://{BLOCKED}nk.fbi-cyber.net
• http://{BLOCKED}rgdqkfdujrfqwkhapbsg.org
• http://{BLOCKED}gytwxwkfbyldaqea.info
• http://{BLOCKED}.{BLOCKED}.4.71
• http://{BLOCKED}.{BLOCKED}.43.69

Otros detalles

Este malware se elimina tras la ejecución.