TROJ_ZCLICK.A

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

マルウェアは、オンライン銀行詐欺ツール「ZBOT」の新しい亜種として検出されました。マルウェアは、コンピュータ内に侵入すると、ユーザがウインドウやファイルを開くなどあらゆる操作をするたびに、デスクトップを「ロック」し、Webサイトを表示します。これらの表示される Webサイトは、デスクトップ画面全体を占有するため、ユーザが開いているウインドウやファイルにアクセスできなくなります。また、マルウェアは、オンライン広告を不正にクリックして金銭を稼ぐ「clickbot」の活動のみを読み込むことから、クリック報酬型広告（pay-per-click, PPC）を介し収益を生み出すことがこのマルウェアの主な目的であると考えられます。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{random filename 2}.exe
• %Application Data%\{random foldername}\{random filename}.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Tasks%\Security Center Update - {number}.job

自動実行方法

スパイウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SecurityCenterServer{number}
ImagePath = "%System%\{random filename 2}.exe -service %Application Data%\{random foldername}\{random filename}.exe"

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random entry} = "%Application Data%\{random folder name}\{random filename}.exe"

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random entry} = "%Application Data%\{random folder name}\{random filename}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\ELowcQ

HKEY_LOCAL_MACHINE\SOFTWARE\{random key}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SecurityCenterServer{number}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\{random key}
License = "444"

情報漏えい

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}ompany.com/{uri}/{hash}
• http://{BLOCKED}froll.com /{uri}/{hash}
• http://{BLOCKED}heck.com/{uri}/{hash}

環境設定ファイルは、以下の情報を含んでいます。

• Search URL (referrer url) e.g http://{BLOCKED}nameall.com
• Update URL (new C&C) e.g http://{BLOCKED}i.com, http://{BLOCKED}ferr.com
• Click URL (redirection url source) e.g http://{BLOCKED}t.com/b/pkg/{random alphanumeric}
• Mutex Name
• Flash URL

<補足>
インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。Mul<