TSPY_ZBOT.YUYABL

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Modifica la configuración de seguridad de Internet Explorer. Esto pone en gran peligro el equipo afectado, puesto que permite que acceda a URL maliciosas.

Roba determinada información del sistema y/o del usuario.

Instalación

Crea las siguientes copias de sí mismo en el sistema afectado y las ejecuta:

• %Application Data%\{random folder 1}\{random file name}.exe

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Este malware infiltra los siguientes archivos no maliciosos:

• %Application Data%\{random folder 2}\{random filename 2}.tmp
• %Application Data%\{random folder 2}\{random filename 2}.{random extension}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Crea las carpetas siguientes:

• %Application Data%\{random folder 1}
• %Application Data%\{random folder 2}

(Nota: %Application Data% es la carpeta Application Data del usuario activo, que en el caso de Windows 98 y ME suele estar ubicada en C:\Windows\Profiles\{nombre de usuario}\Application Data, en el caso de Windows NT en C:\WINNT\Profiles\{nombre de usuario}\Application Data y en el caso de Windows 2000, XP y Server 2003 en C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data).

Se inyecta en todos los procesos en ejecución para permanecer en memoria.

Agrega las siguientes exclusiones mutuas para garantizar que solo se ejecuta una de sus copias en todo momento:

• Local\{GUID}
• Global\{GUID}

Este malware inyecta códigos en el/los siguiente(s) proceso(s):

• explorer.exe

Técnica de inicio automático

Agrega las siguientes entradas de registro para permitir su ejecución automática cada vez que se inicia el sistema:

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 1} = "%Application Data%\{random folder 1}\{random file name}.exe"

Otras modificaciones del sistema

Agrega las siguientes entradas de registro como parte de la rutina de instalación:

HKEY_CURRENT_USER\Software\Microsoft\
{random key}

Agrega las siguientes entradas de registro:

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = "1"

HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random 2} = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random 3} = "{random values}"

Modificación de la página de inicio y de la página de búsqueda del explorador Web

Agrega las siguientes entradas y líneas al archivo SYSTEM.INI para permitir su ejecución automática cada vez que se inicia el sistema: $$DATA$$

Robo de información

Accede al siguiente sitio para descargar su archivo de configuración:

• http://{random generated domain}.org
• http://{random generated domain}.net
• http://{random generated domain}.biz
• http://{random generated domain}.com

Roba la siguiente información:

• Data on cookie files (URLs)
• Email-related information such as account names, email addresses, passwords, server data, and server port
• Email information stored in the user’s Windows Address Book (WAB) file
• Online banking credentials
• Personal digital certificate

Su archivo de configuración contiene la siguiente información:

• URLs where it downloads an updated copy of itself
• URLs where it sends its gathered information
• URLs of its target online banking and finance-related sites from where it steals the information