TSPY_ZBOT.IMQU

Para obtener una visión integral del comportamiento de este Spyware, consulte el diagrama de amenazas que se muestra a continuación.

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Intenta robar la información que se utiliza para iniciar sesión en ciertos sitios Web de bancos y otras entidades financieras (p. ej. nombres de usuario y contraseñas).

Detalles de entrada

Llega como archivo adjunto a los mensajes de correo que otro malware/grayware/spyware o usuarios maliciosos envían como spam.

Este malware puede haberse descargado desde el/los sitio(s) remoto(s) siguiente(s):

• http://{BLOCKED}afiel.ru/bin/xxl.exe

Instalación

Infiltra los archivos siguientes:

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random}.{random} - encrypted file

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\{random letters 1}
• %Application Data%\{random letters 2}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Global\{GUID}
• Local\{GUID}

Este malware se inyecta en los siguientes procesos que se ejecutan en la memoria:

• ctfmon.exe
• dwm.exe
• explorer.exe
• rdpclip.exe
• taskeng.exe
• taskhost.exe
• wscntfy.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random letters 1}\{random letters}.exe"

Otras modificaciones del sistema

Agrega las siguientes claves de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
{random letters}

Robo de información

Accede al siguiente sitio para descargar su archivo de configuración:

• http://{BLOCKED}afiel.ru/bin/xxl.bin
• http://{BLOCKED}ohch.ru/bin/xxl.bin
• http://{BLOCKED}hohz.ru/bin/xxl.bin
• http://{BLOCKED}euph.ru/bin/xxl.bin

Intenta robar información de los siguientes bancos y/u otros organismos financieros:

• AIB
• Alliance & Leicester
• ANZ
• Associated Bank
• Banca Intesa
• Bancaja
• Banco Herrero
• Banco Pastor
• Banco Popular
• Banesto
• Banif
• Bank of America
• Banque Populaire
• Barclays
• BBVA
• BG Net Plus
• BrokerCreditService
• Caixa Girona
• Caixa Laietana
• Caixa Ontinyent
• Caixa Sabadell
• Caixa Tarragona
• Caja Badajoz
• Caja Canarias
• Caja Circulo
• Caja de Avila
• Caja de Jaen
• Caja Granada
• Caja Laboral
• Caja Madrid
• Caja Murcia
• Caja Vital
• Cajarioja
• Cajasol
• CCM
• Chase
• Citibank
• Citizens
• Clavenet
• Clydesdale
• Co-Operativebank
• Comerica
• DAB
• E-Gold
• Ebay
• Fibanc Mediolanum
• Fifth Third
• First Direct
• First Tennessee
• Frost Bank
• Gruppo Carige
• Guaranty Bond Bank
• Halifax
• HSBC
• Huntington
• ING
• IS Bank
• Iside
• IW Bank
• JP Morgan
• Lloyds
• National City
• Nationwide
• Natwest
• NetTeller
• Northern Trust
• Openbank
• OSPM
• PayPal
• PNC
• PosteItaliane
• Premier View
• Procredit
• Qui UBI
• RBS
• Rupay
• Sabadell Atlantico
• Santander
• Scrigno
• Secservizi
• Smile
• Suntrust
• TD Bank
• TD Canada Trust
• Treasury Gateway
• Unicaja
• Union Bank of California
• Uno-E
• US Bank
• Wachovia
• Washington Mutual
• Webmoney Keeper Light
• Wells Fargo
• Yandex
• Yorkshire

Información sustraída

Este malware envía la información recopilada a la siguiente URL a través de HTTP POST:

• http://{BLOCKED}othe.ru/xxl/progress.php