TSPY_ZBOT.KXV

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Se ejecuta y, a continuación, se elimina. Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Este malware no tiene ninguna rutina de propagación.

Abre puertos aleatorios.

Este malware modifica la configuración de zona de Internet Explorer.

Accede a sitios Web para descargar archivos. Esta acción permite que el malware agregue otro tipo de malware en el equipo afectado. Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado:

• %User Profile%\Application Data\{random folder name 1}\{random file name}.exe

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Infiltra los archivos siguientes:

• %User Profile%\Application Data\{random folder name 2}\{random file name 2}.{3 random alphabetic character extension name} - encrypted data

(Nota: %User Profile% es la carpeta de perfil del usuario activo, que en el caso de Windows 98 y ME suele estar en C:\Windows\Profiles\{nombre de usuario}, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario} y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}).

Crea las carpetas siguientes:

• %User Temp%\tmp{random}
• %User Profile%\Application Data\{random folder name 1}
• %User Profile%\Application Data\{random folder name 2}

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Se ejecuta y, a continuación, se elimina.

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%User Profile%\Application Data\{random folder name 1}\{random file name}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "0"

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy

HKEY_CURRENT_USER\Software\Microsoft\
{random}

Crea la(s) siguiente(s) entrada(s) de registro para evitar el cortafuegos de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\EXPLORER.EXE = "%Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer"

Propagación

Este malware no tiene ninguna rutina de propagación.

Rutina de puerta trasera

Abre un puerto aleatorio para que un usuario remoto pueda conectarse al sistema afectado. Una vez se ha establecido la comunicación correctamente, el usuario remoto ejecuta los comandos en el sistema afectado.

Finalización del proceso

Finaliza los servicios siguientes si los detecta en el sistema afectado:

• wuauserv - Windows Update AutoUpdate Service
• wscsvc - Windows Security Center Service

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Este malware modifica la configuración de zona de Internet Explorer.

Rutina de descarga

Accede a sitios Web para descargar los archivos siguientes:

• http://{BLOCKED}k.nl/foto/{2 random letters}.exe

Guarda los archivos que descarga con los nombres siguientes:

• %User Temp%\tmp{random}\{2 random letter}.exe -detected as TROJ_INJECTR.KD

(Nota: %User Temp% es la carpeta Temp del usuario activo, que en el caso de Windows 2000, XP y Server 2003 suele estar en C:\Documents and Settings\{nombre de usuario}\Local Settings\Temp).

Después ejecuta los archivos descargados. Como resultado, en el sistema afectado se muestran las rutinas maliciosas de los archivos descargados.

Robo de información

Accede al siguiente sitio para descargar su archivo de configuración:

• http://{BLOCKED}ion.ru/square.php