Plataforma:

Windows 2000, XP, Server 2003

 Riesgo general:
 Infección divulgada:
 Impacto en el sistema :
 Revelación de la información:
Bajo
Medio
High
Crítico

  • Tipo de malware
    Spyware

  • Destructivo?
    No

  • Cifrado
     

  • In the Wild:
    Sí

  Resumen y descripción



Modifica las entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema.
Intenta robar la información que se utiliza para iniciar sesión en ciertos sitios Web de bancos y otras entidades financieras (p. ej. nombres de usuario y contraseñas).

  Detalles técnicos




Detalles de entrada


Crea las siguientes carpetas con atributos configurados como Sistema y Oculto para impedir que los usuarios descubran y eliminen sus componentes:

  • %System%\lowsec



Técnica de inicio automático


Modifique las siguientes entradas de registro para garantizar su ejecución automática cada vez que se inicia el sistema:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Userinit=%System%\userinit.exe, %System%\sdra64.exe,

             (Nota: el valor predeterminado de la citada entrada de registro es %System%\userinit.exe,).



Rutina de infiltración


Infiltra los archivos siguientes:

  • %System%\lowsec\local.ds - copy of the encrypted downloaded file

  • %System%\lowsec\user.ds - used to save the gathered information



Puntos de infección




Robo de información


Tenga en cuenta que el contenido del archivo, y por tanto la lista de sitios web, puede cambiar en cualquier momento.


Accede al siguiente sitio para descargar su archivo de configuración:

  • http://{BLOCKED}.{BLOCKED}.226.206/ryan/cfg.bin


Intenta robar información de los siguientes bancos y/u otros organismos financieros:

  • Ebay

  • IS Bank

  • Microsoft

  • MoneyMail

  • Myspace

  • OSPM

  • Odnoklassniki

  • Santander

  • Vkontakte



Instalación


Crea copias de sí mismo en la carpeta del sistema de Windows y anexa códigos basura a las copias para dificultar su detección. Las copias utilizan los siguientes nombres de archivo:

  • sdra64.exe


Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

  • __SYSTEM__64AD0625__


Este malware se inyecta a sí mismo en los siguientes procesos como parte de su rutina de residencia en memoria:

  • SVCHOST.EXE

  • WINLOGON.EXE



Otras modificaciones del sistema


Agrega las siguientes entradas de registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
UID={computer name}_{random numbers}



HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
EnableFirewall=0



Información sustraída


La información robada se guarda en los siguientes archivos:

  • %System%\lowsec\user.ds


Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

  • http://{BLOCKED}.{BLOCKED}.226.206/ryan/gate.php



Información de variantes


Tiene los siguientes valores hash MD5:

  • 78d2480e511ffdc6f05fb6a08dc12a00


Tiene los siguientes valores hash SHA1:

  • b3c5bab5ac3b370cb39b397e29ff053850b327a6

  Soluciones

Motor de exploración mínimo 8.900


Step 1
Los usuarios de Windows ME y XP, antes de llevar a cabo cualquier exploración, deben comprobar que tienen desactivada la opción Restaurar sistema para permitir la exploración completa del equipo.

Step 2
Reiniciar en modo seguro
[ aprenda más ]


Step 3
Restaurar este valor del Registro modificado Este paso permite deshacer un cambio que el malware/grayware/spyware ha realizado en un valor del Registro.

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
    • From: Userinit = %System%\userinit.exe, %System%\sdra64.exe,
      • To: Userinit = %System%\userinit.exe,

Para restaurar el valor del Registro que este malware/grayware/spyware ha modificado:

  1. Abra el Editor del Registro. Haga clic en Inicio>Ejecutar, escriba REGEDIT y, a continuación, pulse Intro.
  2. En el panel izquierdo, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Winlogon
  3. En el panel derecho, busque este valor del Registro:
    Userinit = %System%\userinit.exe, %System%\sdra64.exe,
  4. Haga clic con el botón derecho en el nombre de valor y elija Modificar. Cambie la información de valor de esta entrada a:
    %System%\userinit.exe,
  5. Cierre el Editor del Registro.

Step 4
Eliminar este valor del Registro Este paso permite eliminar el valor del Registro que el malware ha creado.

Importante: si modifica el Registro de Windows incorrectamente, podría hacer que el sistema funcione mal de manera irreversible. Lleve a cabo este paso solo si sabe cómo hacerlo o si puede contar con ayuda de su administrador del sistema. De lo contrario, lea este artículo de Microsoft antes de modificar el Registro del equipo.

  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
    • UID = {computer name}_{random numbers}
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
    • EnableFirewall = 0

Para eliminar el valor del Registro que este malware ha creado:

  1. Abra el Editor del Registro. Para ello, haga clic en Inicio>Ejecutar, escriba regedit en el cuadro de texto y pulse Intro.
  2. En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Network
  3. En el panel derecho, busque y elimine la entrada:
    UID = {computer name}_{random numbers}
  4. En el panel izquierdo de la ventana Editor del Registro, haga doble clic en el siguiente elemento:
    HKEY_LOCAL_MACHINE>SYSTEM>CurrentControlSet>Services>SharedAccess>Parameters>FirewallPolicy>StandardProfile
  5. En el panel derecho, busque y elimine la entrada:
    EnableFirewall = 0
  6. Cierre el Editor del Registro.

Step 5
Buscar y eliminar esta carpeta Este paso permite buscar y eliminar la carpeta que este malware/grayware/spyware ha creado. Asegúrese de que tiene activada la casilla Buscar archivos y carpetas ocultos en la opción Más opciones avanzadas para que el resultado de la búsqueda incluya todas las carpetas ocultas.
  • %System%\lowsec

Para eliminar la carpeta de malware/grayware/spyware:

  1. Haga clic con el botón derecho en Inicio y haga clic en Buscar....
  2. En el cuadro de entrada Nombre, escriba:
      • %System%\lowsec
  3. En la lista desplegable Buscar en, seleccione Mi PC y pulse Intro.
  4. Una vez haya encontrado la carpeta, selecciónela y, a continuación, pulse MAYÚS+SUPR para eliminarla definitivamente.

Step 6
Explorar el equipo con su producto de Trend Micro para eliminar los archivos detectados como TSPY_ZBOT.BRN En caso de que el producto de Trend Micro ya haya limpiado, eliminado o puesto en cuarentena los archivos detectados, no serán necesarios más pasos. Puede optar simplemente por eliminar los archivos en cuarentena. Consulte esta página de Base de conocimientos para obtener más información.

Rellene nuestra encuesta!