Nome del virus:TR/Spy.ZBot.idk
Scoperto:18/12/2008
Tipo:Trojan
Sottotipo:Spy
In circolazione (ITW):Si
Numero delle infezioni segnalate:Basso
Potenziale di propagazione:Basso
Potenziale di danni:Medio
File statico:No
Versione IVDF:7.01.00.251 - giovedì 18 dicembre 2008

 Generale Metodi di propagazione:
   • Email


Alias:
   •  Kaspersky: Trojan-Spy.Win32.Zbot.idk
   •  F-Secure: Trojan-Spy:W32/Zbot.AAR
   •  Sophos: Mal/EncPk-CZ
   •  Eset: Win32/Spy.Zbot.CU trojan


Piattaforme / Sistemi operativi:
   • Windows 95
   • Windows 98
   • Windows 98 SE
   • Windows NT
   • Windows ME
   • Windows 2000
   • Windows XP
   • Windows 2003


Effetti secondari:
   • Scarica un file “maligno”
   • Modifica del registro
   • Sottrae informazioni

 File Si copia alla seguente posizione:
   • %SYSDIR%\twext.exe




Prova a scaricare un file:

– La posizione è la seguente:
   • http://sosfichier.com/**********er.exe
Viene salvato in locale sotto: %TEMPDIR%\4.tmp Inoltre questo file viene eseguito dopo essere stato completamente scaricato. Ulteriori analisi hanno accertato che questo file è anch'esso un malware. Riconosciuto come: TR/Dropper.Gen

 Registro Viene cambiata la seguente chiave di registro:

– [HKLM\software\microsoft\windows nt\currentversion\winlogon]
   Valore precedente:
   • "userinit"="%SYSDIR%\userinit.exe,"
   Nuovo valore:
   • "userinit"="%SYSDIR%\userinit.exe,%SYSDIR%\twext.exe,"

 Backdoor Viene aperta la seguente porta:

– svchost.exe su una porta TCP casuale


Contatta il server:
Il seguente:
   • http://elenahysd.ru/**********/conf.bin

Come risultato può inviare informazioni e potrebbe venire fornito il controllo remoto.

 Dettagli del file Linguaggio di programmazione:
 Il malware è stato scritto in MS Visual C++.


Software di compressione:
Per complicarne l'individuazione e ridurre la dimensione del file, viene compresso con un software di compressione.

Descrizione inserita da Thomas Wegele su giovedì 18 dicembre 2008
Descrizione aggiornata da Thomas Wegele su giovedì 18 dicembre 2008

Indietro . . . .