Detalles técnicos

• Nombre completo del virus: Trojan.Multi/Zbot.BXW
• Tipo de código: Trojan Caballo de Troya: programa que parece beneficioso o útil pero resulta ser malicioso en algún momento. No se propaga por si mismo.
• Plataformas afectadas: Multi: Afecta a las plataformas W32 Microsoft Windows de 32 bits, pudiendo afectar a Microsoft Windows Vista/XP/Server 2008/Server 2003/2000/NT/Me/98/95 / W64 Microsoft Windows de 64 bits, pudiendo afectar a Microsoft Windows Vista/XP/Server 2008/Server 2003
• Capacidad de residencia permanente: Sí. Se ejecuta automáticamente en cada reinicio del sistema
• Tamaño (bytes): 40.960
• Alias:
  • Zbot.BXW (Trend Micro)

Arriba

Propagación

Capacidad de autopropagación: No

Carece de rutina propia de propagación.

Arriba

Infección/Efectos

Cuando Zbot.BXW se ejecuta, realiza las siguientes acciones:

Claves y entradas del registro

1. Crea la siguiente entrada del registro para evitar el cortafuegos

   • 													Clave: 
     													HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
     													
     
     														Valor: 
     														%Windows%\Explorer.exe = 
     														%Windows%\Explorer.exe:*:Enabled:Windows Explorer
     												

   Crea la siguiente entrada del registro para ejecutarse de nuevo con cada reinicio del sistema

   • 													Clave: 
     													HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
     													
     
     														Valor: 
     														{GUID} = 
     														{RUTA DEL FICHERO MALICIOSO}
     												

Vulnerabilidades

Explota la siguiente vulnerabilidad:

Otros detalles

Copia los siguientes ficheros al equipo infectado:

• %Application Data%\{ALEATORIO1}\{ALEATORIO}.exe: es una copia de sí mismo.
• %Application Data%\{ALEATORIO2}\{ALEATORIO}.{EXTENSIÓN DE 3 CARACTERES ALEATORIOS}: es un fichero encriptado.

Nota: %Application Data% es una variable que hace referencia a la carpeta de Datos de Aplicación.
C:\WINNT\Profiles\{nombre de usuario}\Application Data (Windows NT), o C:\Documents and Settings\{nombre de usuario}\Local Settings\Application Data (Windows 2000/XP/Server 2003) o C:\usuarios\{nombre de usuario}\AppData (Windows Vista y 7)

Cuando se desencripta el fichero "%Application Data%\{ALEATORIO2}\{ALEATORIO}.{EXTENSIÓN DE 3 CARACTERES ALEATORIOS}" contiene la siguiente información:

• Fecha de instalación.
• Versión del sistema operativo.
• Nombre del computador y del usuario.
• Información del sistema.
• Lenguaje por defecto.
• Nombre del módulo donde el código es inyectado.
• Contenido de las cookies de búsqueda.

Después de ejecutarse desencripta e encripta el archivo ejecutable que se encuentra embebido en él. A continuación ejecuta un archivo que es capaz de conectarse a la siguiente web para descargar un archivo ejecutable:

• http://{BLOCKED}et.cn/zeka/zadranka.exe

Accede a la siguiente web para descargar su fichero de configuración:

• http://{BLOQUEADO}et.cn/zeka/cfg9sksl.jpg

Hasta el momento los archivos de configuración analizados sólo contienen el enlace a su actualización y a la siguiente zona de descarga:

• http://{BLOQUEADO}et.cn/zeka/getbotdata930sdla.php

Guarda el archivo de configuración de forma encriptada en una entrada del registro aleatoria creada bajo la siguiente clave:

• HKEY_CURRENT_USER\Software\Microsoft

Además descarga, y ejecuta a continuación, otros ficheros maliciosos que guarda con el siguiente nombre:

• %Temp%\kjfhgjdsfgsd.exe: detectado como TROJ_ZBOT.BXW (TrendMicro).

Nota: %Temp% es una variable que representa la carpeta temporal de Windows.
Por defecto es C:\Windows\temp (Windows 95/98/Me/XP), C:\Winnt\temp (Windows NT/2000) o C:\documents and settings\{nombre de usuario}\local settings\temp (Windows XP).

Se inyecta en los siguientes procesos que se ejecuentran en memoria:

• ctfmon.exe
• dwm.exe
• explorer.exe
• rdpclip.exe
• taskeng.exe
• taskhost.exe
• wscntfy.exe

El troyano abre una puerta trasera en el equipo comprometido.

Trata de robar información confidencial de servicios de banca en línea como el usuario y contraseña de acceso. Es capaz de de inyectar código en las páginas web de los bancos incluidos en su archivo de configuración, de tomar capturas de pantalla y de capturar las pulsaciones del teclado. También se acopla en varias APIs para interceptar los datos que se envían y reciben del sistema y de Mozilla Firefox y para robar claves privadas de certificados.

El archivo malicioso llega al equipo a través de un correo electrónico falso de "Microsoft" que contiene un archivo .ZIP protegido con contraseña. Dentro de este archivo .ZIP se encuentra un archivo binario y un archivos .LNK. Se informa de la contraseña del archivo .ZIP en el cuerpo del mensaje de correo electrónico.

El código malicioso sólo se ejecuta si el fichero y el archivo .LNK se encuentran en la unidad C:\; de forma que cuando se accede a la unidad el archivo .LNK ejecuta el código malicioso. Puede encontrar más información sobre esta vulnerabilidad en la siguiente web:

• Nota de actualidad de INTECO-CERT.

Arriba

Contramedidas