TSPY_ZBOT.ZR
Windows 98, ME, NT, 2000, XP, Server 2003
Tipo di minaccia informatica:
Spyware
Distruttivo?:
No
Crittografato?:
In the wild::
Sì
Panoramica e descrizione
Modifica las entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema.
Intenta robar la información que se utiliza para iniciar sesión en ciertos sitios Web de bancos y otras entidades financieras (p. ej. nombres de usuario y contraseñas).
Dettagli tecnici
Detalles de entrada
Este malware puede haberse descargado desde el/los sitio(s) remoto(s) siguiente(s):
- http://{BLOCKED}rgs.biz/abc/loddd.exe
Técnica de inicio automático
Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Userinit=%System%\userinit.exe, %System%\sdra64.exe,
Puntos de infiltración
Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:
- http://{BLOCKED}rgs.biz/abc/jdfhf.php
Robo de información
Intenta robar información de los siguientes bancos y/u otros organismos financieros:
- HSBC
- Microsoft
- Myspace
- OSPM
- Odnoklassniki
- Santander
- Vkontakte
El archivo descargado contiene información sobre dónde puede el malware descargar una copia actualizada de sí mismo y a dónde puede enviar los datos robados.
Este malware guarda la información robada en el archivo siguiente:
- %System%\lowsec\user.ds
Instalación
Crea las carpetas siguientes:
- %System%\lowsec
Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:
- _AVIRA_2109
Este malware infiltra los siguientes archivos no maliciosos:
- %System%\lowsec\local.ds - copy of the encrypted downloaded file
- %System%\lowsec\user.ds - used to save the gathered information
Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:
- SVCHOST.EXE
- WINLOGON.EXE
Otras modificaciones del sistema
Agrega las siguientes entradas de registro como parte de la rutina de instalación:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
UID={Computer name}_{Random numbers}
Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\ Services\SharedAccess\Parameters\ FirewallPolicy\StandardProfile
EnableFirewall=0
Información de variantes
Tiene los siguientes valores hash MD5:
- d5dd0609cb8091d66c86d2029eab65f2
Tiene los siguientes valores hash SHA1:
- cfd63207ffd84a8bfb04509f3282011043738c72
Soluzioni
Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.
Step 2
Reiniciar en modo seguro
Step 3
Restaurar este valor del Registro modificado Este paso permite deshacer un cambio que el malware/grayware/spyware ha realizado en un valor del Registro.
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft`Windows NT\CurrentVersion\Winlogon
- From: Userinit = %System%\userinit.exe, %System%\sdra64.exe,
To: %System%\userinit.exe,
- From: Userinit = %System%\userinit.exe, %System%\sdra64.exe,
Para restaurar el valor del Registro que este malware/grayware/spyware ha modificado:
- Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
- En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft`Windows NT>CurrentVersion>Winlogon - En el panel derecho, busque este valor del Registro:
Userinit = %System%\userinit.exe, %System%\sdra64.exe, - Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
%System%\userinit.exe, - Cierre el Editor del Registro.
Step 4
Eliminar este valor del Registro Este paso permite eliminar el valor del Registro que el malware/grayware/spyware ha creado.
Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
- UID = {Computer name}_{Random numbers}
- UID = {Computer name}_{Random numbers}
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
- EnableFirewall = 0
- EnableFirewall = 0
Para eliminar el valor del Registro que este malware/grayware/spyware ha creado:
- Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
- En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Network - En el panel derecho, busque y elimine la entrada:
UID = {Computer name}_{Random numbers} - En el panel izquierdo, haga doble clic en el siguiente elemento:
HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile - En el panel derecho, busque y elimine la entrada:
EnableFirewall = 0 - Cierre el Editor del Registro.
Step 5
Buscar y eliminar esta carpeta Este paso permite buscar y eliminar la carpeta que este malware/grayware/spyware ha creado. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas. %System%lowsec
Para eliminar la carpeta de malware/grayware/spyware:
- Haga clic con el botón derecho en Inicio y haga clic en Buscar....
- En el cuadro de entrada Nombre, escriba:
- %System%lowsec
- En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
- Una vez haya encontrado la carpeta, selecciónela y, a continuación, pulse MAYÚS+SUPR para eliminarla definitivamente.
Step 6
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TSPY_ZBOT.ZR En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.
Sondaggio