WORM_ZBOT.GJ

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ワームは、Internet Explorer（IE）のセキュリティ設定レベルを下げます。

ワームは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{Random Folder 1}\{Random Filename}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ワームは、以下のコンポーネントファイルを作成します。

• %Application Data%\{Random Folder 2}\{Random Filename and Extension}
• %Application Data%\{Random Folder 3}\{Random Filename and Extension}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{Random} = "%Application Data%"\{Random Folder 1}\{Random Filename}.exe

他のシステム変更

ワームは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = %Windows%\explorer.exe:*:Enabled:Windows Explorer

Webブラウザのホームページおよび検索ページの変更

ワームは、IEのセキュリティ設定レベルを下げます。

ダウンロード活動

ワームは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}vers.ru/sexy/files/build.exe

情報漏えい

ワームは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

環境設定ファイルは、以下の情報を含んでいます。

• http://{BLOCKED}ionhunter.ru/sexy/file.php
• http://{BLOCKED}funsite.ru/sexy/file.php

その他

この環境設定ファイルは、自身のコピーの更新版をダウンロードするURLおよび収集された情報の送信先のURLを含む場合があります。

ワームは、リムーバブルドライブ内にショートカットファイル（拡張子LNK）を作成します。このLNKファイルは、リムーバブルドライブ内に作成されたワームのコピーのパスおよびファイル名へと誘導するものです。