VBS_ZERLODAT.B

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアのパッケージとともにコンポーネントとしてコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\nesgf.dat -> copy of encrypted downloaded file, san0329[1].dat, mentioned on the Download Routine
• %User Temp%\ncags.dat -> decrypted form of “%User Temp%\nesgf.dat”

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\sangin.exe -> copy of “%User Temp%\ncags.dat” in executable type, modified by the malware by appending/adding “0000000000000000000…” at the end of the file

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://www.{BLOCKED}-bs.com/room/dalianmingzhu/dalianmingzhu-jp.html

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Temporary Internet Files%\san0329[1].dat -> possibly serves as the initial downloaded file (encrypted), once the download URL was accessed by the malware successfully

(註：%Temporary Internet Files%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Temporary Internet Files"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Microsoft\Windows\Temporary Internet Files" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアが作成する以下のファイルは、暗号化されたダウンロードファイル”san0329[1].dat”のコピーです。

• %User Temp%\nesgf.dat

マルウェアが作成する以下のファイルは、“%User Temp%\nesgf.dat”が復号されたものです。

• %User Temp%\ncags.dat

マルウェアが作成して実行する以下のファイルは、実行タイプの“%User Temp%\ncags.dat” のコピーで、このマルウェアによってファイルの終わりに“0000000000000000000…”が追加され変更されます。

• %User Temp%\sangin.exe

マルウェアが以下のファイル名でダウンロードし保存するファイルは、暗号化されたダウンロードファイルです。

• %Temporary Internet Files%\san0329[1].dat

不正活動の実行後、マルウェアは以下のファイルを削除します。

• %User Temp%\nesgf.dat
• %User Temp%\ncags.dat

ダウンロード先のURLに接続後、マルウェアは、“%User Profile%\AppData\Local\Microsoft\Windows\*”のディレクトリおよびサブディレクトリで”san0329[1].dat”を検索します。確認された場合、マルウェアは、%User Temp%\nesgf.dat.というファイル名を利用して、”san0329[1].dat”のコピーを作成します。

マルウェアは、実行後、自身の不正活動を遅らせるために300,000ミリ秒（300秒）間スリープします。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。