TROJANSPY.WIN32.ZBOT.AD

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{Random Folder 1}\{Random Filename 1}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{Random Folder 2}\{Random Filename 2}.{Random Extension}
• %User Temp%\tmp{random}.bat - Used to delete initially executed copy of itself

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{Random Folder 1}
• %Application Data%\{Random Folder 2}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\{GUID}
• Global\{GUID}

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{Random Folder 1}\{Random Filename 1}.exe"

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{Random Key}
{Random Value Name} = {Hex Data}

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnonBadCertRecving = 0

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
EnableSPDY3_0 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
Enabled = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV8 = 0

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\PhishingFilter
EnabledV9 = 0

情報漏えい

スパイウェアは、以下の情報を収集します。

• Data on cookie files (URLs)
• Email-related information such as account names, email addresses, passwords, server data, and server port
• Email information stored in the user's Windows Address Book (WAB) file
• Online banking credentials
• Personal digital certificate

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}ure.com/s186/kwz.jpg

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

＜補足＞
インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{ランダムなフォルダ 1}\{ランダムなファイル名 1}.exe

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{ランダムなフォルダ 2}\{ランダムなファイル名 2}.{ランダムな拡張子}
• %User Temp%\tmp{ランダム}.bat - 最初に実行したコピーを削除するために使用される

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{ランダムなフォルダ 1}
• %Application Data%\{ランダムなフォルダ 2}

情報漏えい

スパイウェアは、以下の情報を収集します。

• Cookie ファイル内のデータ（URL情報）
• アカウント名やEメールアドレス、パスワード、サーバのデータ、サーバのポートといったEメールに関連する情報
• ユーザのWindowsアドレス帳ファイル（拡張子WAB）内に保存されているEメール情報
• オンライン銀行の認証情報
• 個人用デジタル証明書

その他

スパイウェアは、以下を実行します。

• 環境設定ファイルの受信
  ※この環境設定ファイルには、自身のコピーの更新版をダウンロードするURLおよび収集された情報の送信先のURLが含まれる場合があります。また、スパイウェアが情報を収集する標的となる、オンライン銀行および金融関連WebサイトのURL情報が含まれることがあります。なお、環境設定ファイルの内容が変更されれば、監視するWebサイトのリストも変更される可能性があります。
• ただし、情報公開時点で、Webサイトが表示されても上述のファイルはダウンロード不可です。

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。