Nueva infección de RootKit ZBOT a través de un PDF que llega por mail

Websense Security Labs ™ ha recibido varios informes de una campaña de propagación de una variante de Zbot a través de correo electrónico. Hasta ahora hemos visto sobre 2200 mails.

Este Zbot es un troyano que recopila datos confidenciales de cada equipo infectado para robarle la información. El principal vector de propagación de Zbot es una campaña de spam donde se engañó a los destinatarios en la apertura de los archivos adjuntos infectados en su equipo.

Esta nueva variante utiliza un archivo malintencionado de PDF que contiene la amenaza como un archivo incrustado. Cuando los destinatarios abren el PDF, se les pide guardar un archivo que se llama Royal_Mail_Delivery_Notice.pdf. El usuario asume, falsamente, que el archivo es sólo un PDF y, por lo tanto, seguro para almacenar en el equipo local. Sin embargo, el archivo, realmente es un ejecutable de Windows. El PDF malintencionado inicia el archivo interrumpido, tomando el control del equipo. En el momento de escribir este archivo tiene una tasa de detección de antivirus de solo 20% (SHA1: f1ff07104b7c6a08e06bededd57789e776098b1f).

La amenaza crea un subdirectorio dentro de la carpeta de sistema con el nombre “lowsec” y  los archivos “local.ds” y “user.ds”. Se trata de archivos de configuración para la amenaza. También se copia a sí mismo en la carpeta de sistema como “sdra64.exe” (como otros muchas variantes de ZBOT) y  modifica la entrada del registro “%SOFTWARE%\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit” para ser lanzado durante los proximos reinicios del sistema. Cuando se ejecuta, inyecta el código malintencionado en el proceso del Winlogon.exe en memoria. Esta variante se conecta remotamente a un servidor de ZBOT en China utilizando una dirección IP de 59.44. [eliminado]. [eliminado]: 6010.

Captura de pantalla de mensaje de correo electrónico:

Guarda el archivo incrustado malintencionado

Adobe Acrobat Reader muestra una advertencia acerca de lanzar el archivo:

El problema reside dentro del formato de archivo PDF, como originalmente publicado por en este blog post.

 Fuente
Comentario:
Pues mucho cuidado con los PDF que se reciban sin pedirlos, ya que los RootKits pasan facilmente desapercibidos al ocultar claves, procesoos y ficheros, y éste tiene captura de datos … aunque con los PDF el usuario debe ir con cuidado cuando el Acrobat le avisa de que puede contener virus : “The file and its viewer application are set to be launched by this PDF file. The file may contain programs, macros, or viruses that could potentially harm your compiter. Only open the file if you are sure it is safe. If this file was placed by a trusted person or program, you can click Open to view the file”

saludos

ms, 15-4-2010

ANEXO:

Informe de VirusTotal al respecto:

Compact

Print results

ms.