BKDR_ZACCESS.JZ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Internet Explorer（IE）のセキュリティ設定を変更します。これにより、マルウェアは、悪意のあるWebサイトへのアクセスが可能になり、感染コンピュータはさらなる脅威にさらされることとなります。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\{GUID}\@
• %Application Data%\{GUID}\n
• %Windows%\Installer\{GUID}\@
• %Windows%\Installer\{GUID}\n
• %Windows%\Installer\{GUID}\U\00000001.@
• %Windows%\Installer\{GUID}\U\80000000.@
• %Windows%\Installer\{GUID}\U\800000cb.@

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{GUID}
• %Application Data%\{GUID}\L
• %Application Data%\{GUID}\U
• %Windows%\Installer\{GUID}
• %Windows%\Installer\{GUID}\L
• %Windows%\Installer\{GUID}\U

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CLASSES_ROOT\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\
InProcServer32
@ = "%Application Data%\{GUID}\n."

(註：変更前の上記レジストリ値は、「%System%\shdocvw.dll」となります。)

HKEY_CLASSES_ROOT\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\
InProcServer32
ThreadingModel = "Both"

(註：変更前の上記レジストリ値は、「Apartment」となります。)

HKEY_CLASSES_ROOT\CLSID\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\
InprocServer32
@ = "\.\globalroot\systemroot\Installer\{GUID}\n."

(註：変更前の上記レジストリ値は、「%System%\wbem\wbemess.dll」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders
Cookies = "%System Root%\Documents and Settings\LocalService\Cookies"

(註：変更前の上記レジストリ値は、「%System Root%\Documents and Settings\NetworkService\Cookies」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders
Cache = "%System Root%\Documents and Settings\LocalService\Local Settings\Temporary Internet Files"

(註：変更前の上記レジストリ値は、「%System Root%\Documents and Settings\NetworkService\Local Settings\Temporary Internet Files」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Explorer\Shell Folders
History = "%System Root%\Documents and Settings\LocalService\Local Settings\History"

(註：変更前の上記レジストリ値は、「%System Root%\Documents and Settings\NetworkService\Local Settings\History」となります。)

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_SHAREDACCESS

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Enum\Root\LEGACY_WSCSVC

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Setup

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Enum

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.172.191/
• http://{BLOCKED}.49.170/click.php
• http://{BLOCKED}461.adintegrate.namiflow.com/iframe
• http://{BLOCKED}461.adintegrate.namiflow.com/ncp/checkBrowser
• http://{BLOCKED}s.bluecava.com/data/
• http://{BLOCKED}cava.com/V50/AC/BCAC5.js
• http://{BLOCKED}cava.com/v50/AL/BCLDDOMReady5.js
• http://{BLOCKED}ho.cn/4292395030
• http://{BLOCKED}ho.cn/4293294655
• http://{BLOCKED}unter.co/count.php
• http://{BLOCKED}fling.com/geo/txt/city.php
• http://{BLOCKED}rcherpro.net/click