TSPY_ZBOT.BRN
Windows 2000, XP, Server 2003
Tipo di minaccia informatica:
Spyware
Distruttivo?:
No
Crittografato?:
In the wild::
Sì
Panoramica e descrizione
Modifica las entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema.
Intenta robar la información que se utiliza para iniciar sesión en ciertos sitios Web de bancos y otras entidades financieras (p. ej. nombres de usuario y contraseñas).
Dettagli tecnici
Detalles de entrada
Crea las siguientes carpetas con atributos configurados como Sistema y Oculto para impedir que los usuarios descubran y eliminen sus componentes:
- %System%\lowsec
Técnica de inicio automático
Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Userinit=%System%\userinit.exe, %System%\sdra64.exe,
Rutina de infiltración
Infiltra los archivos siguientes:
- %System%\lowsec\local.ds - copy of the encrypted downloaded file
- %System%\lowsec\user.ds - used to save the gathered information
Puntos de infección
Robo de información
Tenga en cuenta que el contenido del archivo, y por tanto la lista de sitios web, puede cambiar en cualquier momento.
Accede al siguiente sitio para descargar su archivo de configuración:
- http://{BLOCKED}.{BLOCKED}.226.206/ryan/cfg.bin
Intenta robar información de los siguientes bancos y/u otros organismos financieros:
- Ebay
- IS Bank
- Microsoft
- MoneyMail
- Myspace
- OSPM
- Odnoklassniki
- Santander
- Vkontakte
Instalación
Crea copias de sí mismo en la carpeta del sistema de Windows y anexa códigos basura a las copias para dificultar su detección. Las copias utilizan los siguientes nombres de archivo:
- sdra64.exe
Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:
- __SYSTEM__64AD0625__
Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:
- SVCHOST.EXE
- WINLOGON.EXE
Otras modificaciones del sistema
Agrega las siguientes entradas de registro:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
UID={computer name}_{random numbers}
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
EnableFirewall=0
Información sustraída
La información robada se guarda en los siguientes archivos:
- %System%\lowsec\user.ds
Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:
- http://{BLOCKED}.{BLOCKED}.226.206/ryan/gate.php
Información de variantes
Tiene los siguientes valores hash MD5:
- 78d2480e511ffdc6f05fb6a08dc12a00
Tiene los siguientes valores hash SHA1:
- b3c5bab5ac3b370cb39b397e29ff053850b327a6
Soluzioni
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 2
Reiniciar en modo seguro
Step 3
Restaurar este valor del Registro modificado Este paso permite deshacer un cambio que el malware/grayware/spyware ha realizado en un valor del Registro.
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: Userinit = %System%\userinit.exe, %System%\sdra64.exe, To: Userinit = %System%\userinit.exe,
Para restaurar el valor del Registro que este malware/grayware/spyware ha modificado:
- Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
- En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon - En el panel derecho, busque este valor del Registro:
Userinit = %System%\userinit.exe, %System%\sdra64.exe, - Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
%System%\userinit.exe, - Cierre el Editor del Registro.
Step 4
Eliminar este valor del Registro Este paso permite eliminar el valor del Registro que el malware ha creado.
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
- UID = {computer name}_{random numbers}
- UID = {computer name}_{random numbers}
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
- EnableFirewall = 0
- EnableFirewall = 0
Para eliminar el valor del Registro que este malware ha creado:
- Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
- En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Network - En el panel derecho, busque y elimine la entrada:
UID = {computer name}_{random numbers} - En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile - En el panel derecho, busque y elimine la entrada:
EnableFirewall = 0 - Cierre el Editor del Registro.
Step 5
Buscar y eliminar esta carpeta Este paso permite buscar y eliminar la carpeta que este malware/grayware/spyware ha creado. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas.
- %System%\lowsec
Para eliminar la carpeta de malware/grayware/spyware:
- Haga clic con el botón derecho en Inicio y haga clic en Buscar....
- En el cuadro de entrada Nombre, escriba:
- %System%\lowsec
- En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
- Una vez haya encontrado la carpeta, selecciónela y, a continuación, pulse MAYÚS+SUPR para eliminarla definitivamente.
Step 6
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TSPY_ZBOT.BRN En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Sondaggio