Analizzato da: JasperM   

 Piattaforma:

Windows 2000, XP, Server 2003

 Valutazione del rischio complessivo:
 Potenziale dannoso: :
 Potenziale di distribuzione: :
 Reported Infection:
Basso
Medio
Alto
Critico

  • Tipo di minaccia informatica:
    Spyware

  • Distruttivo?:
    No

  • Crittografato?:
     

  • In the wild::

  Panoramica e descrizione

Crea carpetas donde infiltra sus archivos. Este malware se puede inyectar en los procesos que se ejecutan en la memoria.

Abre puertos aleatorios.

  Dettagli tecnici

Ports Used Varies
Dimensione file: 146,944 bytes
Tipo di file: PE
Residente in memoria:
Data di ricezione campioni iniziali: 13 agosto 2010
Carica distruttiva: Steals information, Connects to URLs/Ips, Drops files

Puntos de infección

Llega en forma de archivo descargado de las siguientes URL:

  • http://{BLOCKED}oong.ru/bin/saejuogi.exe

Instalación

Crea carpetas donde infiltra sus archivos.

Este malware se inyecta en los siguientes procesos que se ejecutan en la memoria:

  • ctfmon.exe
  • dwm.exe
  • explorer.exe
  • rdpclip.exe
  • taskeng.exe
  • taskhost.exe
  • wscntfy.exe

Este malware se puede inyectar en los procesos que se ejecutan en la memoria.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = {malware path and file name}

Infiltra los archivos siguientes:

  • %Application Data%\{random1}\{random}.exe - copy of itself
  • %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

)

Otras modificaciones del sistema

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\\Explorer.exe = %Windows%\Explorer.exe:*:Enabled:Windows Explorer

Rutina de puerta trasera

Abre un puerto aleatorio para que un usuario remoto pueda conectarse al sistema afectado. Una vez se ha establecido la comunicación correctamente, el usuario remoto ejecuta los comandos en el sistema afectado.

Robo de información

Accede al siguiente sitio para descargar su archivo de configuración:

  • http://{BLOCKED}yeew.ru/bin/saejuogi.bin
  • http://{BLOCKED}aepo.ru/bin/saejuogi.bin
  • http://{BLOCKED}yeew.ru/bin/saejuogi.bin
  • http://{BLOCKED}aepi.ru/bin/saejuogi.bin
  • http://{BLOCKED}ejae.ru/bin/saejuogi.bin
  • http://{BLOCKED}ushi.ru/bin/saejuogi.bin
  • http://{BLOCKED}fech.ru/bin/saejuogi.bin
  • http://{BLOCKED}ilei.ru/bin/saejuogi.bin

El archivo descargado contiene información sobre dónde puede el malware descargar una copia actualizada de sí mismo y a dónde puede enviar los datos robados.

Tiene como objetivo los siguientes sitios web:

  • http*scripts/injScp.js*
  • http://oyehai.ru/script.js
  • https://www.commerzbanking.de/*/pgf.html*
  • https://www.commerzbanking.de/*/cowis.js*
  • https://meine.deutsche-bank.de/*
  • https://meine.deutsche-bank.de/*/javascript/global.js*
  • https://www.dresdner-privat.de/servlet/P/SSA*do*
  • https://www.dresdner-privat.de/SSA_MLS_JAVASCRIPT/mlsgeneral.js*
  • https://finanzportal.fiducia.de/*/entry*
  • https://finanzportal.fiducia.de/*/portal*
  • https://internetbanking.gad.de/ptlweb/WebPortal*
  • https://internetbanking.gad.de/images/Ib.js*
  • https://my.hypovereinsbank.de/login*
  • https://my.hypovereinsbank.de/js/portal.js*
  • https://banking.postbank.de/app/welcome.do*
  • https://banking.postbank.de/app/login.do*
  • https://banking.postbank.de/app/static/js/script.js*
  • *.de/portal/portal/*
  • https://www.targobank.de/de/*cgi*
  • https://www.targobank.de/de/javascript/funcs_global.js*
  • https://www.bbvanetoffice.com/BBVANETOFFICE/promocion*
  • https://www.bbvanetoffice.com/promocion*
  • https://www.bbvanetoffice.com/BBVANETOFFICE/bbvanetoffice/bienvenida*
  • https://ing.ingdirect.es/W/Transactional/faces/selectOption?select_op=initLogin*
  • https://ing.ingdirect.es/W/Transactional/adf/js/jquery-latest.js*
  • https://www.caixapenedes.com*
  • https://www.caixapenedes.com/js/niftycube.js
  • *ruralvia.com/isum/*login*
  • https://ww3.deutsche-bank.es/pbct/login.*
  • https://ww3.deutsche-bank.es/db24online/js/login/eStara.js
  • https://ww3.deutsche-bank.es/pbct/login*
  • https://ww3.deutsche-bank.es/pbct/NetiServlet?neti_id=navigation.bottom*
  • https://www.caixacatalunya.com/CDA/caixacat/es/ccpublic/particulars/Home/OthHomePageCas/0,1217,,00.html
  • https://www.caixacatalunya.com/NASApp/ceconline/index.jsp*
  • https://www.barclays.es/publico/contents/*jsp*
  • https://www.barclays.es/publico/js/TextEngine.js
  • https://www.sabadellatlantico.com*
  • *cajaespana.net*
  • https://www.cajaespana.net/convivencia/siglo21/estandar/recursos/tecladovirtual.js
  • https://www.solbank.com*
  • https://enlinea.cajasur.es/BEWeb/2024/4024/inicio_identificacion.action*
  • https://enlinea.cajasur.es/4024/js/loginPin.js*
  • https://cajaelectronica.caja-granada.es/BEWeb/2031/2031/inicio_identificacion.action*
  • https://cajaelectronica.caja-granada.es/2031/js/MOD3.js*
  • https://cajaelectronica.caja-granada.es/BEWeb/2031/2031/not5801_d_COMUN.action?OPERACION=*
  • https://activa24.ccm.es/BEWeb/2105/6105/inicio_identificacion.action*
  • https://activa24.ccm.es/6105/js/comunBEWEB.js*
  • https://be.cajamurcia.es/6043/js/LOGIN2_PORTAL.js
  • https://be.cajamurcia.es/BEWeb/2043/6043/inicio_identificacion.action
  • https://be.cajamurcia.es/6043/js/MOD3.js
  • https://soldirecto.cajasoldirecto.es/2106/js/incluyeDomain.js*
  • https://soldirecto.cajasoldirecto.es/BEWeb/2106/2106/inicio_identificacion.action*
  • https://soldirecto.cajasoldirecto.es/BEWeb/2106/2106/inicio_identificacion.action*
  • https://soldirecto.cajasoldirecto.es/BEWeb/2106/2106/psINICm_0.action*
  • https://www.uno-e.com/local_bdnt_unoe/Login_unoe2.html*
  • https://www3.altamiraonline.com/AltamiraOnLineWeb/Sesion*
  • https://www3.altamiraonline.com/AltamiraOnLineWeb/src/canalInet/md5.js*
  • https://pastornet*.bancopastor.es/SrPd*
  • *bankinter.com*utils.js*
  • *bankinter.com*gzinflate.js.php*
  • *bankinter.com/www/es-es/cgi/*+home
  • https://oficina24hores.caixagirona.es/BEWeb/2030/1030/inicio_identificacion.action*
  • https://oficina24hores.caixagirona.es/*/Js/MOD3.js*
  • https://telematic.caixamanlleu.es/ISMC/*/acceso.jsp*
  • https://telematic.caixamanlleu.es/ISMC/*/js/teclat.js*
  • https://be.homecem.com/BEWeb/*/login_identificacion*
  • https://be.homecem.com/2041/js/comunBEWEB.js*
  • https://www.caixaterrassa.es/SESSIONS/SFObe*
  • https://enlaza.cajadeburgos.es/BELLogin.jsp*
  • https://www.cajalaboral.*/home/acceso.asp
  • https://www.cajamar.es*
  • https://cajasturdirecto.cajastur.es/BEWeb/2048/*/inicio_identificacion.action*
  • https://cajasturdirecto.cajastur.es/*/js/MOD3.js*
  • https://cajasturdirecto.cajastur.es/BEWeb/2048/*/portal_inicio_identificacion.action*
  • https://empresas.gruposantander.es/WebEmpresas/*
  • *iurisbank.com/isum/*login*
  • https://www.unicaja.es/*

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

  • http://{BLOCKED}ushi.ru/y93/_gate.php

Otros detalles

Según el análisis de los códigos, tiene las siguientes capacidades:

  • Hooks the following APIs to intercept data that the system sends and receives:
    • ntdll.dll:
      • NtCreateThread
      • LdrLoadDll
    • kernel32.dll:
      • GetFileAttributesExW
    • WS2_32.dll:
      • send
      • WSASend
      • closesocket
    • USER32.dll:
      • TranslateMessage
      • GetClipboardData
    • WININET.dll:
      • InternetCloseHandle
      • HttpSendRequestA
      • HttpQueryInfoA
      • InternetReadFile
      • InternetQueryDataAvailable
      • HttpSendRequestExW
      • InternetReadFileExA
      • HttpSendRequestW
      • HttpSendRequestExA
  • Intercepts data to and from Mozilla Firefox by hooking the following APIs:
    • nspr4.dll:
      • PR_OpenTCPSocket
      • PR_Close
      • PR_Read
      • PR_Write
  • Steals private keys from certificates by hooking the following API:
    • CRYPT32.dll:
      • PFXImportCertStore
  • Take screenshots
  • Logs keystrokes

Información de variantes

Tiene los siguientes valores hash MD5:

  • a61732d6519a6530691d9fb56912ca57

Tiene los siguientes valores hash SHA1:

  • 4718ad5bbd3d5292bf3039c4955864931e6e48c8

  Soluzioni

Motore di scansione minimo: 8.900
Versione pattern VSAPI OPR: 7.378.07
Data di pubblicazione del pattern VSAPI OPR: 12 agosto 2010

Step 1

Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2

Reiniciar en modo seguro

[ learnMore ]

Step 3

Explorar el equipo con su producto de Trend Micro y anotar los archivos detectados como TSPY_ZBOT.BWF

Step 4

Eliminar la entrada del Registro con un valor de información desconocido LearnHow

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • %Application Data%\{random1}
  • %Application Data%\{random2}

Para eliminar la entrada del Registro que este malware ha creado:

  1. Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
  2. En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
    • %Application Data%\{random1}
    • %Application Data%\{random2}
  3. En el panel derecho, busque y elimine la entrada o entradas cuyo valor de información sea la ruta de acceso del malware y el nombre de archivo de los archivos detectados anteriormente.
  4. Cierre el Editor del Registro.

Step 5

Eliminar este valor del Registro

[ learnMore ]

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

 
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • %Windows%\Explorer.exe=%Windows%\Explorer.exe:*:Enabled:Windows Explorer

Step 6

Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TSPY_ZBOT.BWF En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.


Sondaggio