TSPY_ZBOT.PIO
Kaspersky: Trojan-Spy.Win32.Zbot.enkv, Symantec: Win32/Spy.Zbot.AAO trojan
Windows 2000, Windows XP, Windows Server 2003
Tipo de malware
Spyware
Destructivo?
No
Cifrado
In the Wild:
Sí
Resumen y descripción
Este archivo contiene una URL a la que se conecta para intentar descargar otros archivos.
Detalles técnicos
Instalación
Infiltra los archivos siguientes:
- %Application Data%\{random letters 1}\{random letters}.exe - copy of itself
- %Application Data%\{random letters 2}\{random letters}.{random letters} - encrypted file
(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).
)Crea las carpetas siguientes:
- %Application Data%\{random letters 1}
- %Application Data%\{random letters 2}
(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).
)Técnica de inicio automático
Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random letters 1}\{random letters}.exe"
Otras modificaciones del sistema
Agrega las siguientes claves de registro como parte de la rutina de instalación:
HKEY_CURRENT_USER\Software\Microsoft\
{random letters}
Otros detalles
Este archivo contiene una URL a la que se conecta para intentar descargar otros archivos. En el momento de escribir esta información, este archivo contiene las siguientes direcciones URL:
- http://{BLOCKED}rmvare114.in/run45/file.php|file=cc45.bin