TROJ_ZBOT.BAF

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、以下の方法でコンピュータに侵入します。

• may be dropped and executed by its main ZBOT component

インストール

マルウェアは、以下のフォルダを追加します。

• %Application Data%\Rudy

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下の無害なファイルを作成します。

• %Application Data%\Rudy\teeb.tmp

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{1E4B2D16-BDE9-5695-E6A2-289F36546274} = %Application Data%\{6randomchars2}\{4randomchars}.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{6randomchars}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{6randomchars}
{random} = {hex values}

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}e.ru/syria2020.bin

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

環境設定ファイルは、以下の情報が含まれており、情報収集活動のために利用されます。

• 正規のWebサイトへの情報の組み込み
• マルウェアが監視する銀行関連のWebサイト
• 自身のコピーの更新版をダウンロードするWebサイト
• 環境設定ファイルがダウンロードされるWebサイト
• 収集した情報の送信先サーバ

マルウェアは、メインとなるZBOTコンポーネントによって作成され、実行されます。