TSPY_ZBOT.ZL

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\twext.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

スパイウェアは、以下のファイルを作成します。

• %System Root%\Documents and Settings\LocalService\Application Data\twain_32\user.ds
• %System%\twain_32\local.ds
• %System%\twain_32\user.ds

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

スパイウェアは、以下のフォルダを作成します。

• %System Root%\Documents and Settings\LocalService\Application Data\twain_32
• %System%\twain_32

(註：%System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = "%System%\userinit.exe,%System%\twext.exe,"

(註：変更前の上記レジストリ値は、「%System%\userinit.exe,」となります。)

他のシステム変更

スパイウェアは、インストールの過程で以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Network
UID = "{Computer Name}_{Random ID}"

HKEY_USERS\.DEFAULT\Software\
Microsoft
Protected Storage System Provider =

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer
{19127AD2-394B-70F5-C650-B97867BAA1F7} =

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer
{43BF8CD1-C5D5-2230-7BB2-98F22C2B7DC6} =

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}oous.ru/pavel/conf.bin