TSPY_ZBOT.VZA

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

この「ZBOT」の亜種は、スパム活動実行のため、英国の納税申告期限を利用していました。スパムメッセージは、メールの送信元を英国の歳入税関庁（HMRC）と偽り、特定のVATの書留郵便物受領通知をユーザに通知するというものでした。

スパイウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

スパイウェアは、特定のレジストリキーにレジストリ値を追加します。

スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• TROJ_UPATRE.SMB

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• https://{BLOCKED}asia.com/logos/astore.exe
• https://{BLOCKED}gfloorrestoration.com/source/logo.exe

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder name}\{random file name}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random folder name}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{GUID}
• Local\{GUID}

スパイウェアは、以下の通常のプロセスにスレッドを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name} = "%Application Data%\{random folder name}\{random file name}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

HKEY_CURRENT_USER\Software\Microsoft\
WAB

スパイウェアは、以下のレジストリキーにレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{random port 1}:UDP = "{random port 1}:UDP:*:Enabled:UDP {random port 1}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{random port 2}:TCP = "{random port 2}:TCP:*:Enabled:TCP {random port 2}"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{pseudorandom domain name}.info
• http://{pseudorandom domain name}.com
• http://{pseudorandom domain name}.biz
• http://{pseudorandom domain name}.net
• http://{pseudorandom domain name}.org
• http://{pseudorandom domain name}.ru

情報漏えい

スパイウェアは、以下の情報を収集します。

• Data on cookie files (URLs)
• FTP credentials
• Online banking credentials
• Flashplayer data
• Personal digital cerificates

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.google.com
• http://www.bing.com

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

<補足>
インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{ランダムなフォルダ名}\{ランダムなファイル名}.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

• HKEY_CURRENT_USER\Software\Microsoft\
• Windows\CurrentVersion\Run
• {ランダムなファイル名} = "%Application Data%\{ランダムなフォルダ名}\{ランダムなファイル名}.exe"

情報漏えい

スパイウェアは、以下の情報を収集します。

• クッキーファイル内のデータ (URL情報)
• FTP認証情報
• オンライン銀行の認証情報
• Flashplayerのデータ
• 個人デジタル証明書

注意：

環境設定ファイルには、以下の情報が含まれています。

• オンライン銀行アカウントの認証情報を収集するための環境設定および対象とする銀行のリスト
• 環境設定ファイルのコピーの更新版のダウンロード元
• 自身のコピーの更新版のダウンロード元
• 収集した情報の送信先