Sobre troyano Spy ZBOT que utiliza el SDRA64.EXE y se resiste a la eliminación…

Con antivirus conocidos y otras utilidades, este RootKit no se elimina, y necesita para su eliminacion el ELISTARA.EXE y el ELINOTIF.DLL en la misma carpeta, pues ni arrancando en modo seguro se puede eliminar sin ello, ya que carga este SDRA64.EXE en la clave del User.ini, la cual se carga incluso arrancando en MODO SEGURO.

Siendo asi no se deja ni copiar ni renombrar, ni eliminar, ni mover ya que da ACCESO DENEGADO,  (acceso de lectura y escritura denegado) y la clave se regenera si se borra…, y se tiene que recurrir a nuestro sistema que al lanzar el ELISTARA carga el ELINOTIF.DLL en el registro y en el siguiente reinicio, el ELISTARA, que es lanzado automaticamente, lo puede eliminar, al no estar en uso dicho rootkit.

La clave de marras es :

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
“Userinit”=”C:\\WINDOWS\\SYSTEM32\\Userinit.exe,C:\\WINDOWS\\system32\\sdra64.exe,”

(las dobles contrabarras son para indicar que el siguiente caracter a la primera es un caracter especial no alfanumerico, como es otra \, o cualquier otro, que deba ser utilizado)

Como que estamos recibiendo diariamente varias muestras de dicho malware, del que sin duda le han cogido gusto por su dificultad de eliminacion y consiguiente persistencia, avisamos que acostumbra a llegar adjunto a un e-mail anexando ficheros segun texto del mismo y variantes:

“DHL_ID8612.ZIP”       (69.754) -> “DHL_ID8612.EXE”       (75.256)
“MTCN_CONFIRMATION.ZIP”(75.529) -> “MTCN_CONFIRMATION.EXE”(91.136)

al ejecutarlo se instala copiandose en la carpeta de sistema

%WinSys%\ SDRA64.EXE       (de 297.472 bytes)

y modificando la indicada clave en el registro.

Vamos controlando las variantes a medida que las vamos recibiendo, pero hoy mismo hemos añadido otras tres a las 20 que ya controlabamos, asi que está en progreso y ello es peligroso…

Espero que esta informacion sea de utilidad y si lo tienen instalado, o lo controlan nuestras utilidades, o pasaremos a controlarlo cuando recibamos la muestra que pedirán las mismas.

saludos

ms, 8-9-2009