TROJ_UPATRE.YQU

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、税金の話題に便乗したスパム攻撃に関連した不正な添付ファイルです。マルウェアは、不正なURLにアクセスし、暗号化されたバージョンの「ZBOT」の亜種をダウンロードします。この「ZBOT」の亜種により、コンピュータにインストールされたセキュリティ関連製品を無効にします。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。

マルウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\lsame.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://vtiger.{BLOCKED}inc.com/test/logo/0804UKr.jpi - detected as TROJ_UPATRE.CFG
• http://{BLOCKED}inc.com/wp-content/uploads/2014/04/0804Ukr.jpi - inaccessible

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\tislu.exe - detected as TSPY_ZBOT.YQU

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、ダウンロードしたファイルを実行します。

その他

マルウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した マルウェア ）を削除します。

マルウェアが以下のWebサイトからダウンロードするファイルは、「TROJ_UPATRE.CFG」として検出されます。

• http://vtiger.{BLOCKED}inc.com/test/logo/0804UKr.jpi

マルウェアはがファイルをダウンロードする以下のWebサイトは、現在アクセス不能です。

• http://{BLOCKED}inc.com/wp-content/uploads/2014/04/0804Ukr.jpi

マルウェアが、ダウンロードしたファイルは、以下のように「TSPY_ZBOT.YQU」として保存されます。
• %User Temp%\tislu.exe