TSPY_ZBOT.AAMV

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このスパイウェアは、2014年1月に、64ビットのシステムを対象とすることが確認された64ビットの「ZBOT」検体の一部です。このスパイウェアに感染したユーザは、コンピュータのセキュリティが侵害されたり、オンライン銀行の認証情報といった重要な個人情報が収集される可能性があります。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder name 1}\{random file name 1}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random folder name 2}\{random file name 2}.{random extension}
• %Application Data%\{random folder name 2}\{random file name 2}.tmp

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random folder name 1}
• %Application Data%\{random folder name 2}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{GUID}
• Local\{GUID}

スパイウェアは、以下の通常のプロセスにスレッドを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random folder name 1}\{random file name 1}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

HKEY_CURRENT_USER\Software\Microsoft\
WAB

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "0"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}tnywjwabxb.onion/zs/mimi.jpg

情報漏えい

スパイウェアは、以下の情報を収集します。

• Data on cookie files (URLs)
• FTP credentials
• Online banking credentials
• Flashplayer data
• Personal digital cerificates

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.google.com/webhp

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://checkip.dyndns.org

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

環境設定ファイルには、以下の情報が含まれています。

• 自身のコピーの更新版のダウンロード元
• 収集した情報の送信先
• 環境設定ファイルのコピーの更新版のダウンロード元
• オンライン銀行アカウントの認証情報を収集するための環境設定および対象とする銀行のリスト

スパイウェアは、特定のプロセスにコードを組み込む際、そのプロセスが64ビットであるかを確認します。64ビットの場合、「TSPY64_ZBOT.AANP」として検出される64ビット版のスパイウェアを読み込みます。64ビットでない場合は、32ビット版のスパイウェアの実行を継続させます。

スパイウェアは、自身の作成したファイルと自動実行レジストリを隠します。

スパイウェアは、以下のコマンドラインを利用し、コマンド＆コントロール（C&C）サーバの通信を隠ぺいする「Tor」クライアントの秘匿サービスを実行させるため、プロセス"svchost.exe"を作成します。

• "%System%\svchost.exe" --HiddenServiceDir "%APPDATA%\tor\hidden_service" --HiddenServicePort "1080 127.0.0.1:" --HiddenServicePort "5900 127.0.0.1:"

スパイウェアは、攻撃者に感染コンピュータへのリモートコマンドを実行させるため、C&Cサーバに自身の現在の環境設定を通知します。

スパイウェアは、以下のような新たに作成された解析ツールのプロセスの実行を防ぎます。

• ImPrec
• LodPE
• OllyDbg
• WinHex
• Stud PE
• ProcDump
• PESam

スパイウェアが作成するフォルダは以下のとおりです。

• ＜Application Data＞\＜ランダムなフォルダ名1＞
• ＜Application Data＞\＜ランダムなフォルダ名2＞

スパイウェアが、感染したコンピュータ内に作成する自身のコピーは以下のとおりです。

• ＜Application Data＞\＜ランダムなフォルダ名1＞\＜ランダムなファイル名1＞.exe

スパイウェアが作成するファイルは以下のとおりです。

• ＜Application Data＞\＜ランダムなフォルダ名2＞\＜ランダムなファイル名2＞.＜ランダムな拡張子＞
• ＜Application Data＞\＜ランダムなフォルダ名2＞\＜ランダムなファイル名2＞.tmp

スパイウェアが収集する情報は、以下のとおりです。

• Cookie ファイル内の情報（URL情報）
• FTP認証情報
• オンライン銀行の認証情報
• Flashplayerのデータ
• 個人デジタル証明書