Estás en: Panda Security > Usuarios Domésticos > Security Info > about-malware > encyclopedia > detalle

Enciclopedia de Virus

Bienvenido a la Enciclopedia de Virus del Laboratorio de Panda Security.

Spybot.AKB
PeligrosidadDañoPropagación

De un vistazo Detalles técnicos Solución

Efectos

Spybot.AKB realiza las siguientes acciones:

Llega al ordenador en un archivo que tiene el siguiente icono (el nombre del archivo puede variar):
Una vez ejecutado, suelta en el ordenador un archivo que se encarga de instalar un complemento en los navegadores Firefox y Chrome, como se puede observar en la siguiente imagen:
A pesar de que se puede seleccionar la opción Desactivar o Desinstalar este complemento, este sí que se desinstala o desactiva, pero el archivo que lo ha instalado se queda residente en memoria.
Este complemento lo utiliza para redireccionar ciertas búsquedas realizadas por el usuario a páginas que pueden contener malware.
Cuando el usuario realiza búsquedas que contengan alguna de las siguientes cadenas de texto, el complemento instalado se activa y provoca la redirección a otras páginas:
A: Airlines, Amazon,Antivir, Antivirus.

B: Baseball, Books.

C: Casino, Chrome, Cialis, Cigarettes, Comcast, Craigslist, Credit.

D: Dating, Design, Doctor.

E: Explorer

F: Fashion, Finance, Firefox, Flifhts, Flower, Football

G: Gambling, Gifts, Graphic.

H: Health, Hotel.

I: Insurance, Iphone.

L: Loans.

M: Medical, Military, Mobile, Money, Mortgage, Movie, Music, Myspace.

O: Opera.

P: Pharma, Pocker.

S: School, Software, Sport, Spybot, Spyware.

T: Trading, Tramadol, Travel, Twitter.

V: Verizon, Video, Virus, Vocations.

W: Wallpaper, Weather.
Por ejemplo, si el usuario realiza una búsqueda que contenga la palabra "Antivirus" o "Virus", intenta conectarse a la siguiente página en la que se observa la palabra que hemos introducido en el buscador:
http://searchnx.com/se.php?pop=1&aid=YmxhY<bloqueado>D8&sid=1912146&key=antivirus
http://searchnx.com/se.php?pop=1&aid=YmxhY<bloqueado>D8&sid=19121941&key=virus
Estas direcciones ya no están disponibles, por lo que no es posible realizar el redireccionamiento y en su lugar se abre la página del buscador Bing.
El objetivo de este redireccionamiento es llevar a los usuarios a páginas maliciosas desde las que se descargaría más malware.

Por otra parte, Spybot.AKB lleva a cabo una serie de acciones para reducir la seguridad del ordenador:

Se agrega a la lista de programas autorizados por el cortafuegos de Windows para así conseguir saltárselo.
Desahibilita el servicio de reporte de errores de Windows.
Desactiva el servicio User Access Control (UAC). Es un servicio que, en ordenadores con sistema operativo Windows 7/Vista informa al usuario de la ejecución o acceso de cualquier programa en el ordenador.

Metodo de Infección

Spybot.AKB crea los siguientes archivos en el directorio de sistema:

GOOGLEUPDATES.EXE, que es una copia del gusano.
GNOTE.EXE.

Spybot.AKB crea las siguientes entradas en el Registro de Windows:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
Google Update3 = %sysdir%\GoogleUpdates.exe
donde %sysdir% es el directorio de sistema de Windows.
Mediante esta entrada, Spybot.AKB consigue ejecutarse cada vez que Windows se inicia.
HKEY_LOCAL_MACHINE\ SYSTEM\ CurrentControlSet\ Services\ SharedAccess\ Parameters\ FirewallPolicy\ StandardProfile\ AuthorizedApplications\ List
%sysdir%\GoogleUpdates.exe = %sysdir%\GoogleUpdates.exe:*:Enabled:Explorer
Mediante esta entrada, Spybot.AKB se añade a la lista de programas autorizados por el cortafuegos de Windows.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system
EnableLUA = 00, 00, 00, 00
Desactiva el User Access Control (UAC).
Se trata de una característica de los ordenadores con Windows 7/Vista que avisa al usuario de cualquier ejecución o acceso en el equipo por parte de algún programa.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ERSvc
DeleteFlag = 01, 00, 00, 00
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ERSvc
FailureActions = 0A, 00, 00, 00, 00, 00, 00, 00, 00, 00, 00, 00, 01, 00, 00, 00, 54, 00, 41, 00, 00, 00, 00, 00, B8, 0B, 00, 00
Mediante estas dos entradas, deshabilita el servicio de reporte de errores de Windows.
HKEY_CURRENT_USER\Software\Microsoft\Google3
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Google3
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer
google5 = 02
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer
google6 = 10

Spybot.AKB modifica la siguiente entrada del Registro de Windows para que no se ejecute automáticamente el servicio de reporte de errores de Windows:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ERSvc
Start = 02, 00, 00, 00
Cambia esta entrada por:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\ERSvc
Start = 04, 00, 00, 00