TSPY_ZBOT.TFZAH

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

スパイウェアは、Internet Explorer（IE）のセキュリティ設定を変更します。これにより、スパイウェアは、悪意のあるWebサイトへのアクセスが可能になり、感染コンピュータはさらなる脅威にさらされることとなります。

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{random folder 3}\{random file name}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random folder 1}\{random file name}.{random extension}
• %Application Data%\{random folder 2}\{random file name}.{random extension}
• %Application Data%\Microsoft\Address Book\{user name}.wab
• %Application Data%\Microsoft\Address Book\{user name}.wab~

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random folder 1}
• %Application Data%\{random folder 2}
• %Application Data%\{random folder 3}
• %Application Data%\Microsoft\Address Book

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{GUID}
• Local\{GUID}

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random folder 3}\{random file name}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random key}

HKEY_CURRENT_USER\Software\Microsoft\
WAB

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\WAB File Name

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random} = "{random}"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = "1"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\WAB File Name
(Default) = "%Application Data%\Microsoft\Address Book\{user name}.wab"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "0"

スパイウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}kremove.com/8/567565433.exe - detected as TROJ_FOIDAN.AX

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}jef.com/cfg.bin
• http://{BLOCKED}aysitha.com/hez/gdw.jpg
• http://{pseudorandom}.ru/cfg.jpg

情報漏えい

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Comdirect Bank AG
• Hamburger Sparkasse
• Skrill
• First National Bank
• Nedbank
• Standard Bank
• HDFC Bank
• State Bank of India
• Banco Credicoop
• Santander Rio
• Raiffeisen Meine Bank
• Erste Sparkasse
• Bank Austria
• Bawag PSK
• Banco Bradesco
• Bradesco Net Empresa
• Bci
• BancoEstado
• Banco de Chile
• Banco Santander-Chile
• Bci Nova
• Banco Santiago
• Deutsche Bank
• ING DiBa
• Baden-Württemberggische Bank
• Banco Popular Español
• Santander Group
• La Caixa
• Banco Bilbao Vizcaya Argentaria (BBVA)
• Bankinter
• Banco Grupo Cajatres
• Cajamar Caja Rural
• NCG Banco
• Banco Gallego
• Bankia
• Unicaja
• ING Direct
• Ruralvía
• Liberbank
• Adeslas SegurCaixa
• Boursorama Banque
• Bankia
• Unicaja
• ING Direct
• Ruralvía
• Liberbank
• Adeslas SegurCaixa
• Boursorama Banque
• Crédit du Nord
• Lloyds Bank
• Barclays PLC
• ISideOnline
• TecMarket
• Cedacri
• BPER Group
• Alahli Bank
• Samba Financial Group
• Geojit BNP Paribas
• FedNet
• Swedbank
• Wells Fargo
• Regions Financial Corporation
• TD Bank
• Absa Bank
• Targobank
• Commerzbank AG
• Sparda

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.google.com/webhp

スパイウェアは、実行後、自身を削除します。

スパイウェアは、感染コンピュータから以下の情報を収集します。

• クッキーファイル内の情報（URL）
• Eメールに関連する情報（アカウント名、Eメールアドレス、パスワード、サーバの情報、サーバのポート）
• ユーザのWindowsアドレス帳のデータの保存に使用されるファイル（拡張子WAB）内のEメールに関連する情報

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。ダウンロードされる不正なファイルは、「TROJ_FOIDAN.AX」として検出されます。

• https://＜省略＞kremove.com/8/567565433.exe