TSPY_ZBOT.PNR

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、2014年1月に確認されたファイル感染型ウイルスの攻撃におけるメインとなるペイロードです。

このスパイウェアに感染したコンピュータのユーザは、個人情報が収集されたり、オンライン銀行のアカウント情報の侵害に見舞われることがあります。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder name 1}\{random file name 1}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\gmon.out - Contains encrypted information (Non-malicious)
• {Malware Path}\gmon.out - Contains encrypted information (Non-malicious)
• %Application Data%\{random folder name 2}\{random file name 2}.{random extension}
• %Application Data%\Microsoft\Address Book\{user name}.wab
• %Application Data%\Microsoft\Address Book\{user name}.wab~

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random folder name 1}
• %Application Data%\{random folder name 2}
• %Application Data%\Microsoft\Address Book

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{GUID}
• Local\{GUID}

スパイウェアは、以下の通常のプロセスにスレッドを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random folder name 1}\{random file name 1}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

HKEY_CURRENT_USER\Software\Microsoft\
WAB

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "0"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://dinos.{BLOCKED}i.me/file.php

情報漏えい

スパイウェアは、以下の情報を収集します。

• Data on cookie files (URLs)
• FTP credentials
• Online banking credentials
• Flashplayer data
• Personal digital cerificates

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://dinos.{BLOCKED}i.me/file.php

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.google.com/webhp

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://checkip.dyndns.org

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

注意：

環境設定ファイルには、以下の情報を含みます。

• 自身のコピーの更新版のダウンロード元
• 収集した情報の送信先
• 環境設定ファイルのコピーの更新版のダウンロード元
• オンライン銀行アカウントの認証情報を収集するための環境設定および対象とする銀行のリスト

スパイウェアは、以下のような解析ツールの、新たに作成されたプロセスの実行を防ぎます。

• ImPrec
• LodPE
• OllyDbg
• WinHex
• Stud PE
• ProcDump
• PESam

スパイウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
%Windows%\Explorer.EXE = "%Windows%\Explorer.EXE:*:Enabled:DNS #{ランダム}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
%System%\ctfmon.exe = "%System%\ctfmon.exe:*:Enabled:DNS #{random}"

<補足>
インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{ランダムなフォルダ名 1}\{ランダムなファイル名 1}.exe

スパイウェアが作成する暗号化された情報を含む無害なファイルは、以下のとおりです。

• %Application Data%\gmon.out
• {マルウェアのパス}\gmon.out

情報漏えい

スパイウェアは、以下の情報を収集します。

• クッキーファイル内のデータ（URL情報）
• FTP認証情報
• オンライン銀行の認証情報
• Flashplayerのデータ
• 個人デジタル証明書