TSPY_ZBOT.YFV

2012年11月19日

解析者: Nikko Tamana

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

スパイウェアは、ダウンロードしたファイルを実行します。

詳細

ファイルサイズ 90,112 bytes

タイプ EXE

発見日 2012年11月16日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

%Application Data%\{random1}\{random}.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のファイルを作成します。

%Application Data%\{random2}\{random}.{random}
%Application Data%\Microsoft\Address Book\winxp.wab
%Application Data%\Microsoft\Address Book\winxp.wab~

スパイウェアは、以下のフォルダを作成します。

%Application Data%\{random1}
%Application Data%\{random2}
%Application Data%\Microsoft\Address Book

スパイウェアは、実行後、自身を削除します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random}\{random}.exe"

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random value} = "{hex values}"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = "1"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name
Default = "%Application Data%\Microsoft\Address Book\winxp.wab"

ダウンロード活動

スパイウェアは、以下のURLからファイルをダウンロードします。スパイウェアは、ファイルが感染コンピュータ内に保存されると、ファイル名を変更します。

http://{BLOCKED}d.com/crap.exe

スパイウェアは、ダウンロードしたファイルを実行します。

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

http://{BLOCKED}ec948fa2bc.com/53085816/0d5e28f7.php
http://{BLOCKED}4.{BLOCKED}2.106.99/vbulletin/profile.php