• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_ZBOT.YYMV

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

トレンドマイクロは、2014年5月、人気のオンラインストレージサービス「Dropbox」を悪用する複数のスパムメール活動を確認しました。確認されたスパムメールのうちの1つは、本文に Dropbox のリンクが記載されたインターネットFax サービス「eFax」の通知メールを装ったものでした。ユーザが誤ってこのリンクをクリックすると、Dropbox の URL に誘導され、「TROJ_UPATRE.YYMV」として検出される不正なファイルがダウンロードされます。「TROJ_UPATRE.YYMV」が実行されると、この不正プログラムは、「ZBOT」の亜種（「TSPY_ZBOT.YYMV」として検出）をダウンロードします。また、次に「TSPY_ZBOT.YYMV」は、「RTKT_NECURS.MJYE」として検出されるルートキットを作成します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

スパイウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

スパイウェアは、実行後、自身を削除します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• TROJ_UPATRE.YYMV

インストール

スパイウェアは、以下のファイルを作成します。

• %System%\drivers\{random filename 2}.sys - detected as RTKT_NECURS.MJYE

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{random folder name}\{random filename 1}.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下の無害なファイルを作成します。

• %AppDataLocal%\{random filename 3}.{random extension}

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のフォルダを作成します。

• %User Temp%\{random folder name}

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\{GUID}
• Global\{GUID}

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename 1} = "%User Temp%\{random folder name}\{random filename 1}.exe"

スパイウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
DisplayName = "{random filename 1}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
Group = "Boot Bus Extender"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
ImagePath = "%System%\drivers\{random filename 2}.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
Start = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
Tag = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
Type = "1"

スパイウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

スパイウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{random port 1}:UDP = "{random port 1}:UDP:*:Enabled:UDP {random port 1}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{random port 2}:TCP = "{random port 2}:TCP:*:Enabled:TCP {random port 2}"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{pseudorandom domain name}.info
• http://{pseudorandom domain name}.com
• http://{pseudorandom domain name}.biz
• http://{pseudorandom domain name}.net
• http://{pseudorandom domain name}.org
• http://{pseudorandom domain name}.ru

情報漏えい

スパイウェアは、以下の情報を収集します。

• Data on cookie files (URLs)
• Email-related information such as account names, email addresses, passwords, server data, and server port
• Email information stored in the user’s Windows Address Book (WAB) file
• Online banking credentials
• Personal digital cerificates

その他

スパイウェアは、実行後、自身を削除します。

<補足>
インストール

スパイウェアは、以下のファイルを作成します。

• %System%\drivers\{ランダムなファイル名 2}.sys - RTKT_NECURS.MJYEとして検出

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\{ランダムなフォルダ名}\{ランダムなファイル名 1}.exe

スパイウェアは、以下の無害なファイルを作成します。

• %AppDataLocal%\{ランダムなファイル名 3}.{ランダムな拡張子}

スパイウェアは、以下のフォルダを作成します。

• %User Temp%\{ランダムなフォルダ名}

情報漏えい

スパイウェアは、以下の情報を収集します。

• クッキーファイル内の情報（URL）
• Eメールに関連する情報（アカウント名、Eメールアドレス、パスワード、サーバの情報、サーバのポート）
• ユーザのWindowsアドレス帳のデータの保存に使用されるファイル（拡張子WAB）内のEメールに関連する情報
• オンライン銀行の認証情報
• 個人デジタル証明書

注意：
スパイウェアは、ランダムに生成されたURLに接続し、自身の環境設定ファイルをダウンロードしようと試みます。

環境設定ファイルには、自身の更新したコピーのダウンロード先および収集した情報の送信先のURLが含まれている可能性があります。

スパイウェアには、情報を収集するために標的としたオンライン銀行および金融関連webサイトのURLが含まれている可能性があります。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください