TSPY_ZBOT.THX

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

これはトレンドマイクロの製品では、報道では次なる「ZBOT」と言われている「KINS」に対する検出名です。オンライン銀行詐欺ツールと呼ばれる「ZBOT」同様、このスパイウェアは、環境設定ファイルのダウンロードやオンライン銀行における認証情報の収集をします。ただし、このスパイウェアは、異なる自動実行型の圧縮ファイル（パッカー）を利用し、デバッグや解析動作に対抗する機能を備えています。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、レジストリ値を変更し、Windowsのファイアウォールを無効にします。これにより、スパイウェアは、自身を検出されることなく不正活動を実行することが可能になります。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder name 1}\{random file name 1}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random folder name 2}\{random file name 2}.{random file extension} - contains encrypted stolen information

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random folder name 1}
• %Application Data%\{random folder name 2}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{GUID}
• Local\{GUID}

スパイウェアは、以下の通常のプロセスにスレッドを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name 1}.exe = "%Application Data%\{random folder name 1}\{random file name 1}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random string} = "{random hex values}"

スパイウェアは、以下のレジストリ値を変更し、Windowsのファイアウォールを無効にします。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• https://{BLOCKED}linker.net/temperdata/sdg12s.bin
• http://{BLOCKED}mmj.com/cfg.bin

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Data on Cookie files (URLs)
• Email-related information such as account names, email addresses, passwords, server data, and server port

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.google.com/webhp

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

スパイウェアがダウンロードする環境設定ファイルには、スパイウェアが自身のコピーの更新版ファイルをダウンロードしてくるURLや収集した情報を送信するURLが含まれています。また、この環境設定ファイルには、スパイウェアが情報収集をするために対象とする銀行や金融関連のWebサイトのURLも含まれています。

スパイウェアの解析回避の方法は、以下のとおりです。

• スパイウェアは、以下のファイルを確認します。
• C:\TOOLS\execute.exe
• C:\popupkiller.exe
• SbieDll.dll
• \\.\HGFS
• \\.\NPF_NdisWanIp
• \\.\VboxGuest
• スパイウェアは、以下のレジストリキーを確認します。

HKEY_LOCAL_MACHINE\Software\Wine

HKEY_CURRENT_USER\Software\Wine

• スパイウェアは、以下のMutexを確認します。
• Frz_State

スパイウェアが作成する以下のファイルには、収集された情報が暗号化された状態で含まれています。

• %Application Data%\{random folder name 2}\{random file name 2}.{random file extension}

スパイウェアが収集する情報は、以下のとおりです。

• クッキーファイル内の情報（URL）
• Eメールに関連する情報（アカウント名、Eメールアドレス、パスワード、サーバの情報、サーバのポート）