Plataforma:

Windows 98, ME, NT, 2000, XP, Server 2003

 Riesgo general:
 Infección divulgada:
 Impacto en el sistema :
 Revelación de la información:
Bajo
Medio
High
Crítico

  • Tipo de malware
    Spyware

  • Destructivo?
    No

  • Cifrado
     

  • In the Wild:
    Sí

  Resumen y descripción



Modifica las entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema.
Intenta robar la información que se utiliza para iniciar sesión en ciertos sitios Web de bancos y otras entidades financieras (p. ej. nombres de usuario y contraseñas).

  Detalles técnicos




Detalles de entrada


Este malware puede haberse descargado desde el/los sitio(s) remoto(s) siguiente(s):

  • http://{BLOCKED}rgs.biz/abc/loddd.exe



Técnica de inicio automático


Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Userinit=%System%\userinit.exe, %System%\sdra64.exe,

             (Nota: el valor predeterminado de la citada entrada de registro es %System%\userinit.exe,).



Puntos de infiltración


Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

  • http://{BLOCKED}rgs.biz/abc/jdfhf.php



Robo de información


Intenta robar información de los siguientes bancos y/u otros organismos financieros:

  • HSBC

  • Microsoft

  • Myspace

  • OSPM

  • Odnoklassniki

  • Santander

  • Vkontakte


El archivo descargado contiene información sobre dónde puede el malware descargar una copia actualizada de sí mismo y a dónde puede enviar los datos robados.


Este malware guarda la información robada en el archivo siguiente:

  • %System%\lowsec\user.ds



Instalación


Crea las carpetas siguientes:

  • %System%\lowsec


Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

  • _AVIRA_2109


Este malware infiltra los siguientes archivos no maliciosos:

  • %System%\lowsec\local.ds - copy of the encrypted downloaded file

  • %System%\lowsec\user.ds - used to save the gathered information


Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

  • SVCHOST.EXE

  • WINLOGON.EXE



Otras modificaciones del sistema


Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
UID={Computer name}_{Random numbers}


Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile
EnableFirewall=0



Información de variantes


Tiene los siguientes valores hash MD5:

  • d5dd0609cb8091d66c86d2029eab65f2


Tiene los siguientes valores hash SHA1:

  • cfd63207ffd84a8bfb04509f3282011043738c72

  Soluciones

Motor de exploración mínimo 8.900


Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2
Reiniciar en modo seguro
[ aprenda más ]


Step 3
Restaurar este valor del Registro modificado Este paso permite deshacer un cambio que el malware/grayware/spyware ha realizado en un valor del Registro.

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft`Windows NT\CurrentVersion\Winlogon
    • From: Userinit = %System%\userinit.exe, %System%\sdra64.exe,
      To: %System%\userinit.exe,

Para restaurar el valor del Registro que este malware/grayware/spyware ha modificado:

  1. Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
  2. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft`Windows NT>CurrentVersion>Winlogon
  3. En el panel derecho, busque este valor del Registro:
    Userinit = %System%\userinit.exe, %System%\sdra64.exe,
  4. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
    %System%\userinit.exe,
  5. Cierre el Editor del Registro.

Step 4
Eliminar este valor del Registro Este paso permite eliminar el valor del Registro que el malware/grayware/spyware ha creado.

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
    • UID = {Computer name}_{Random numbers}
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • EnableFirewall = 0

Para eliminar el valor del Registro que este malware/grayware/spyware ha creado:

  1. Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
  2. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Network
  3. En el panel derecho, busque y elimine la entrada:
    UID = {Computer name}_{Random numbers}
  4. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile
  5. En el panel derecho, busque y elimine la entrada:
    EnableFirewall = 0
  6. Cierre el Editor del Registro.

Step 5
Buscar y eliminar esta carpeta Este paso permite buscar y eliminar la carpeta que este malware/grayware/spyware ha creado. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas. %System%lowsec

Para eliminar la carpeta de malware/grayware/spyware:

  1. Haga clic con el botón derecho en Inicio y haga clic en Buscar....
  2. En el cuadro de entrada Nombre, escriba:
      %System%lowsec
  3. En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
  4. Una vez haya encontrado la carpeta, selecciónela y, a continuación, pulse MAYÚS+SUPR para eliminarla definitivamente.

Step 6
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TSPY_ZBOT.ZR En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Rellene nuestra encuesta!