AMPLIACION DE INFORMACION SOBRE SPYZBOT AA (TROYANO BANCARIO) QUE SE RECIBE ANEXADO A FALSO MAIL DE ORANGE

Pasamos a ofrecer amplicación de detalles sobre el SPYZBOT (troyano bancario) que ya controlamos desde ayer, (al que a partir de ahora lo identificaremos con el codigo AA),  segun indicabamos en el blog:

https://blog.satinfo.es/2015/nueva-variante-de-malware-spyzbot-que-se- recibe-anexado-a-falso-mail-de-orange/

Y que llega anexado a un falso mail de ORANGE, segun avisabamos ayer en:

https://blog.satinfo.es/2015/61363/

Tal como indicabamos, el actual ELISTARA 32.57 ya lo detecta y elimina, si  bien estamos descubriendo historias para no dormir al monitorizarlo para tratar de cazarlo heuristicamente, debido a que se oculta como un ROOTKIT, imposibilitando ver las claves de registro que lo lanzan, asi como el proceso activo en memoria, con lo cual solo podemos cazarlo por cadenas, aunque lo persigamos por ubicación, aun siendo el nombre variable.

Un dato importante a tener en cuenta es que actua como keylogger de accesos bancarios, interceptando el teclado, lo cual en castellano lo delata con el doble acento típico de la familia de los SPYZBOT

Vemos que ademas baja el nivel de seguridad del navegador y que algo hace con el correo electronico, pudiendo ser que reenvie mails infectados, lo cual estamos estudiando.

Ademas, dispone de una acción especial al acceder, con dicho engendro en memoria, a pendrives o dispositivos formateados en FAT32, ya que en tal caso crea en ellos fichero para guardar los metadatos propios de NTFS con el nombre de EA DATA. SF, el cual está con atributos SHR, pero que aun aplicandole atributos normales, es inaccesbible, imborrable e incopiable, aunque ello sea causado por el windows.

ES MUY IMPORTANTE PARA DETECTARLO Y ELIMINAR DICHO SPYZBOT CON EL ELISTARA, , EL ARRANCAR EN MODO SEGURO, PUES DE LO CONTRARIO AUNQUE SE DETECTARA, PEDIRIA REINICIAR CUANTAS VECES LO ELIMINARA, POR SUS FUNCIONES DE ROOTKIT… TENERLO EN CUENTA !!!.

Si desean cualquier aclaración al respecto, rogamos consulten
saludos

ms, 26-6-2015