¿Necesita ayuda? Pregunte a la comunidad o contrate a un experto.
Ir a Avira Answers
Nombre:TR/Spy.ZBot.xaxn
Descubierto:30/09/2013
Tipo:Troyano
Subtipo:Spy
En circulación (ITW):No
Número de infecciones comunicadas:Bajo
Potencial de propagación:Bajo
Potencial dañino:Bajo
Tamaño:91861 Bytes
Suma de control MD5:4c89ed49b3a334bdfea59d0c4c6a514e
Versión del VDF:7.11.105.54 - lunes, 30 de septiembre de 2013
Versión del IVDF:7.11.105.54 - lunes, 30 de septiembre de 2013

 General Método de propagación:
   • No tiene rutina propia de propagación


Alias:
   •  Kaspersky: Trojan-PSW.Win32.Fareit.albl
   •  Sophos: Mal/Generic-S
   •  Bitdefender: Trojan.GenericKDV.1306124
   •  Microsoft: Trojan:Win32/Matsnu.L
   •  AVG: Generic35.AMA
   •  Eset: Win32/Trustezeb.E.trojan
   •  GData: Trojan.GenericKDV.1306124
   •  DrWeb: Trojan.Inject.27909


Plataformas / Sistemas operativos:
   • Windows 2000
   • Windows XP
   • Windows 2003
   • Windows Vista
   • Windows Server 2008
   • Windows 7


Efectos secundarios:
   • Modificaciones en el registro

 Ficheros Se copia a sí mismo en la siguiente ubicación:
   • %HOME%\Application Data\%serie de caracteres aleatorios de cuatro dígitos%\%serie de caracteres aleatorios%.exe

– Un fichero temporal, que puede ser eliminado después:
   • %temp%\%serie de caracteres aleatorios%.pre

 Registro Añade uno de los siguientes valores en el registro, para ejecutar los procesos al reiniciar el sistema:

–  [HKCU\Software\Microsoft\Windows\CurrentVersion\Run]
   • "%serie de caracteres aleatorios%"="%HOME%\Application Data\%serie de caracteres aleatorios%\%serie de caracteres aleatorios%.exe"



Añade las siguientes claves del registro para ejecutar el servicio al iniciar el sistema:

– [HKLM\SYSTEM\ControlSet001\Control\Session Manager]
   • "PendingFileRenameOperations"="\??\%HOME%\%serie de caracteres aleatorios%.pre"



Añade las siguientes claves al registro:

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #?#HID#Vid_0e0f&Pid_0003&MI_00#7&1b1a3d13&0&0000#{378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #\Control]
   • "Linked"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #?#HID#Vid_0e0f&Pid_0003&MI_00#7&1b1a3d13&0&0000#{378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   Control]
   • "ReferenceCount"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #?#HID#Vid_0e0f&Pid_0003&MI_01#7&356b0ce&0&0000#{378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #\Control]
   • "Linked"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   #?#HID#Vid_0e0f&Pid_0003&MI_01#7&356b0ce&0&0000#{378de44c-56ef-11d1-bc8c-00a0c91405dd}\
   Control]
   • "ReferenceCount"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {4d1e55b2-f16f-11cf-88cb-001111000030}\
   #?#HID#Vid_0e0f&Pid_0003&MI_00#7&1b1a3d13&0&0000#{4d1e55b2-f16f-11cf-88cb-001111000030}\
   #\Control]
   • "Linked"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {4d1e55b2-f16f-11cf-88cb-001111000030}\
   #?#HID#Vid_0e0f&Pid_0003&MI_00#7&1b1a3d13&0&0000#{4d1e55b2-f16f-11cf-88cb-001111000030}\
   Control]
   • "ReferenceCount"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {4d1e55b2-f16f-11cf-88cb-001111000030}\
   #?#HID#Vid_0e0f&Pid_0003&MI_01#7&356b0ce&0&0000#{4d1e55b2-f16f-11cf-88cb-001111000030}\
   #\Control]
   • "Linked"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {4d1e55b2-f16f-11cf-88cb-001111000030}\
   #?#HID#Vid_0e0f&Pid_0003&MI_01#7&356b0ce&0&0000#{4d1e55b2-f16f-11cf-88cb-001111000030}\
   Control]
   • "ReferenceCount"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {a5dcbf10-6530-11d2-901f-00c04fb951ed}\
   #?#USB#Vid_0e0f&Pid_0003#5&1f8fd7d0&0&1#{a5dcbf10-6530-11d2-901f-00c04fb951ed}\
   #\Control]
   • "Linked"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {a5dcbf10-6530-11d2-901f-00c04fb951ed}\
   #?#USB#Vid_0e0f&Pid_0003#5&1f8fd7d0&0&1#{a5dcbf10-6530-11d2-901f-00c04fb951ed}\
   Control]
   • "ReferenceCount"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {f18a0e88-c30c-11d0-8815-00a0c906bed8}\
   #?#USB#Vid_0e0f&Pid_0002#5&1f8fd7d0&0&2#{f18a0e88-c30c-11d0-8815-00a0c906bed8}\
   #\Control]
   • "Linked"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Control\DeviceClasses\
   {f18a0e88-c30c-11d0-8815-00a0c906bed8}\
   #?#USB#Vid_0e0f&Pid_0002#5&1f8fd7d0&0&2#{f18a0e88-c30c-11d0-8815-00a0c906bed8}\
   Control]
   • "ReferenceCount"="dword:0x00000000"



Modifica las siguientes claves del registro:

– [HKLM\SYSTEM\ControlSet001\Services\HidUsb\Enum]
   Valor anterior:
   • "Count"=dword:00000002
   • "NextInstance"=dword:00000002
   Nuevo valor:
   • "Count"="dword:0x00000000"
   • "NextInstance"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Services\Mouclass\Enum]
   Valor anterior:
   • "Count"=dword:00000004
   • "NextInstance"=dword:00000004
   Nuevo valor:
   • "Count"="dword:0x00000002"
   • "NextInstance"="dword:0x00000002"

– [HKLM\SYSTEM\ControlSet001\Services\mouhid\Enum]
   Valor anterior:
   • "Count"=dword:00000002
   • "NextInstance"=dword:00000002
   Nuevo valor:
   • "Count"="dword:0x00000000"
   • "NextInstance"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Services\RemoteAccess\Performance]
   Valor anterior:
   • "Error Count"=dword:00000012
   Nuevo valor:
   • "Error Count"="dword:0x0000026d"

– [HKLM\SYSTEM\ControlSet001\Services\usbccgp\Enum]
   Valor anterior:
   • "Count"=dword:00000001
   • "NextInstance"=dword:00000001
   Nuevo valor:
   • "Count"="dword:0x00000000"
   • "NextInstance"="dword:0x00000000"

– [HKLM\SYSTEM\ControlSet001\Services\usbhub\Enum]
   Valor anterior:
   • "Count"=dword:00000002
   • "NextInstance"=dword:00000002
   Nuevo valor:
   • "Count"="dword:0x00000001"
   • "NextInstance"="dword:0x00000001"

 Inyectar el código viral en otros procesos     Uno de los siguientes procesos:
   • svchost.exe
   • winlogon.exe


 Informaciones diversas Conexión a Internet:
Para verificar la conexión a Internet, se conecta al siguiente servidor DNS:
   • micnet**********100.com

 Datos del fichero Lenguaje de programación:
El programa de malware ha sido escrito en MS Visual C++.

Descripción insertada por Wensin Lee el martes, 1 de octubre de 2013
Descripción actualizada por Wensin Lee el martes, 1 de octubre de 2013

Volver . . . .
https:// Esta ventana está cifrada para su seguridad.