Nome del virus:TR/Spy.ZBot.dbi
Scoperto:09/07/2008
Tipo:Trojan
In circolazione (ITW):Si
Numero delle infezioni segnalate:Medio-Basso
Potenziale di propagazione:Basso
Potenziale di danni:Medio
File statico:Si
Dimensione del file:56.832 Byte
Somma di controllo MD5:5a1434342ac892e7fc3c004977de6fd3
Versione IVDF:7.00.05.71 - mercoledì 9 luglio 2008

 Generale Metodo di propagazione:
   • Nessuna propria procedura di propagazione


Alias:
   •  Kaspersky: Trojan-Spy.Win32.Zbot.dbi
   •  F-Secure: Trojan-Downloader:W32/Zlob.HSY
   •  Sophos: Troj/Agent-HEY
   •  Eset: Win32/Spy.Agent.PZ trojan
   •  Bitdefender: Trojan.Spy.Zbot.GF


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Modifica del registro
   • Sottrae informazioni
   • Accesso e controllo del computer da parte di terzi

 File Si copia alla seguente posizione:
   • %SYSDIR%\ntos.exe



Vengono creati i seguenti file:

– File ad uso temporaneo che possono essere cancellati in seguito:
   • %SYSDIR%\wnspoem\audio.dll
   • %SYSDIR%\wnspoem\video.dll

 Registro Vengono cambiate le seguenti chiavi di registro:

– [HKLM\software\microsoft\windows nt\currentversion\winlogon]
   Valore precedente:
   • "userinit"="%SYSDIR%\userinit.exe,"
   Nuovo valore:
   • "userinit"="%SYSDIR%\userinit.exe,%SYSDIR%\ntos.exe,"

– [HKLM\software\microsoft\Windows nt\currentversion\network]
   Nuovo valore:
   • "UID"="%nome del computer%_%valori esadecimali%"

 Email Non possiede una propria procedura di propagazione, però si trasmette tramite email. Le caratteristiche sono descritte qui di seguito:


Da:
L'indirizzo del mittente è falso.


Oggetto:
Il seguente:
   • Ihr UPS Paket %stringa di caratteri casuale%



Corpo dell'email:
Il corpo dell’email è come il seguente:

   • Guten Tag,
     leider konnten wir ihren Paket gesendet am 01. Juli nicht zustellen, da
     die Adresse des Empfangers nicht existiert. Drucken Sie bitte den Lieferschein im Anhang dieser Mail aus,
     und holen Sie ihr Paket bei uns ab.
     Mit freundlichen Grussen,
     Ihre UPS


File allegato:
Il nome del file allegato è:
   • UPS_Lieferschein.zip

L'allegato è un archivio che contiene una copia del malware stesso.

 Backdoor Viene aperta la seguente porta:

– svchost.exe su una porta TCP casuale


Contatta il server:
Il seguente:
   • http://fixbserver.ru/**********AhsAAs.bin

Come risultato può inviare informazioni e potrebbe venire fornito il controllo remoto.

 Come il virus si inserisce nei processi – Si inserisce in un processo.

    Nome del processo:
   • winlogon.exe


 Dettagli del file Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Thomas Wegele su mercoledì 9 luglio 2008
Descrizione aggiornata da Thomas Wegele su mercoledì 9 luglio 2008

Indietro . . . .