TSPY_ZBOT.ILA
Windows 2000, XP, Server 2003
Type de grayware:
Spyware
Destructif:
Non
Chiffrement:
Non
In the wild::
Oui
Overview
Versucht, Daten zu entwenden, wie z. B. Benutzernamen und Kennw?rter, die beim Anmelden auf Websites von Banken oder anderen Finanzdienstleistern verwendet werden.
D¨¦tails techniques
Infektionspunkte
Gelangt auf das System in Form einer Datei, die von den folgenden URLs heruntergeladen wurde:
- http://{BLOCKED}6.addr.com/bot.exe
Installation
Schleust Kopien von sich selbst in den Windows Systemordner ein und h?ngt bedeutungslose Codefragmente (so genannten Garbage-Code) an die Datei an, um eine leichte Erkennung zu verhindern. Die eingeschleusten Kopien verwenden die folgenden Dateinamen:
- sdra64.exe
Erstellt die folgenden Ordner und legt f¨¹r diese die Attribute System und Versteckt fest, um zu verhindern, dass die darin befindlichen Komponenten von Benutzern entdeckt und entfernt werden:
- %System%\lowsec
(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)
F¨¹gt die folgenden Mutexe hinzu, damit nur jeweils eine ihrer Kopien ausgef¨¹hrt wird:
- __SYSTEM__64AD0625__
Injiziert sich selbst in die folgenden Prozesse, um speicherresident ausgef¨¹hrt zu werden:
- SVCHOST.EXE
- WINLOGON.EXE
Autostart-Technik
?ndert die folgenden Registrierungseintr?ge, um bei jedem Systemstart automatisch ausgef¨¹hrt zu werden:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, %System%\sdra64.exe,
(Note: The default value data of the said registry entry is %System%\userinit.exe,.)
Andere System?nderungen
F¨¹gt die folgenden Registrierungseintr?ge hinzu:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Network
UID = {computer name}_{random numbers}
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0
Einschleusungsroutine
Schleust die folgenden Dateien ein:
- %System%\lowsec\local.ds - copy of the encrypted downloaded file
- %System%\lowsec\user.ds - used to save the gathered information
(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)
Datendiebstahl
Greift auf die folgende Site zu, um die eigene Konfigurationsdatei herunterzuladen:
- http://{BLOCKED}6.addr.com/config.bin
Beachten Sie, dass der Inhalt der Datei, d. h. die Liste der zu ¨¹berwachenden Websites, jederzeit ge?ndert werden kann.
Versucht, Daten von den folgenden Banken und/oder anderen Geldinstituten zu entwenden:
- AIB
- ANZ
- Alliance & Leicester
- BG Net Plus
- Banca Intesa
- Bancaja
- Banco Herrero
- Banco Pastor
- Banco Popular
- Banesto
- Banif
- Bank of America
- Banque Populaire
- Barclays
- BrokerCreditService
- CCM
- Caixa Girona
- Caixa Laietana
- Caixa Ontinyent
- Caixa Sabadell
- Caixa Tarragona
- Caja Badajoz
- Caja Canarias
- Caja Circulo
- Caja Granada
- Caja Laboral
- Caja Madrid
- Caja Murcia
- Caja Vital
- Caja de Avila
- Caja de Jaen
- Cajarioja
- Cajasol
- Chase
- Citibank
- Citizens
- Clavenet
- Clydesdale
- Co-Operativebank
- DAB
- E-Gold
- Ebay
- Fibanc Mediolanum
- Fifth Third
- First Direct
- GAD
- Gruppo Carige
- HSBC
- Halifax
- IS Bank
- IW Bank
- Iside
- Lloyds
- Microsoft
- Myspace
- National City
- Nationwide
- Natwest
- OSPM
- Odnoklassniki
- Openbank
- PayPal
- PosteItaliane
- Procredit
- Qui UBI
- RBS
- Rupay
- Sabadell Atlantico
- Santander
- Scrigno
- Secservizi
- Smile
- Suntrust
- TD Canada Trust
- US Bank
- Unicaja
- Uno-E
- Vkontakte
- Wachovia
- Washington Mutual
- Webmoney Keeper Light
- Wells Fargo
- Yandex
- Yorkshire
Entwendete Daten
Die entwendeten Informationen werden in der folgenden Datei gespeichert:
- %System%\lowsec\user.ds
(Hinweis: %System% ist der Windows Systemordner. Er lautet in der Regel C:\Windows\System unter Windows 98 und ME, C:\WINNT\System32 unter Windows NT und 2000 sowie C:\Windows\System32 unter Windows XP und Server 2003.)
Sendet die gesammelten Daten ¨¹ber HTTP-POST an den folgenden URL:
- http://{BLOCKED}6.addr.com/gate.php
Informationen ¨¹ber Varianten
Verf¨¹gt ¨¹ber folgende MD5-Hash-Werte:
- 6c83cd8cc8cf7e9300d8f6ae62ae7a7b
Verf¨¹gt ¨¹ber folgende SHA1-Hash-Werte:
- 5763d1845ef34dcbbc74c127a1b94c3c51d9b2cc
Solutions
Step 1
F¨¹r Windows ME und XP Benutzer: Stellen Sie vor einer Suche sicher, dass die Systemwiederherstellung deaktiviert ist, damit der gesamte Computer durchsucht werden kann.
Step 2
Im abgesicherten Modus neu starten
Step 3
Diesen ge?nderten Registrierungswert wiederherstellen
Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: Userinit = %System%\userinit.exe, %System%\sdra64.exe, To: Userinit =?%System%\userinit.exe,
Step 4
Diesen Registrierungswert l?schen
Wichtig: Eine nicht ordnungsgem??e Bearbeitung der Windows Registrierung kann zu einer dauerhaften Fehlfunktion des Systems f¨¹hren. F¨¹hren Sie diesen Schritt nur durch, wenn Sie mit der Vorgehensweise vertraut sind oder wenn Sie Ihren Systemadministrator um Unterst¨¹tzung bitten k?nnen. Lesen Sie ansonsten zuerst diesen , bevor Sie die Registrierung Ihres Computers ?ndern.
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
- UID = {computer name}_{random numbers}
- UID = {computer name}_{random numbers}
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
- EnableFirewall = 0
- EnableFirewall = 0
Step 5
Diesen Ordner suchen und l?schen
- %System%\lowsec
Step 6
Durchsuchen Sie Ihren Computer mit Ihrem live casino online Produkt, und l?schen Sie Dateien, die als TSPY_ZBOT.ILA entdeckt werden. Falls die entdeckten Dateien bereits von Ihrem live casino online Produkt ges?ubert, gel?scht oder in Quarant?ne verschoben wurden, sind keine weiteren Schritte erforderlich. Dateien in Quarant?ne k?nnen einfach gel?scht werden. Auf dieser finden Sie weitere Informationen.
Participez ¨¤ notre enqu¨ºte!