TrojanSpy.Win32.ZENPAK.A

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• Trojan.Win32.STOP.THGACAI

インストール

スパイウェアは、以下のファイルを作成します。

• %All Users Profile%\0 ← marker if run as admin or not

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

スパイウェアは、以下のファイルを作成し実行します。

• %All Users Profile%\216c40503e\kndt.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

スパイウェアは、以下のフォルダを作成します。

• %All Users Profile%\216c40503e

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

他のシステム変更

スパイウェアは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
Startup = %All Users Profile%\216c40503e

(註：変更前の上記レジストリ値は、「%USERPROFILE%\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup」となります。)

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}ns.com/ppk/index.php
• http://{BLOCKED}u.top/ppk/index.php
• http://{BLOCKED}e.net/ppk/index.php
  
  Here are the details of the message sent to C&C:
  • id - Volume Serial Number
  • sd - 363333
  • vs - 1.41
  • ar - 1 if executed as admin else 0
  • bi - OS Architecture
    • 1 = x86
    • 0 = x64
  • lv - running malware
    • 0 = 1.exe
    • 1 = kndt.exe
  • os - OS version, value can be the following:
    • 1 or 2 = Windows 10, Windows 8,Windows Server 2016, Windows Server 2012
    • 3 or 4 = Windows 8.1, Windows Server 2012 R2
    • 7 or 8 = Windows Vista, Windows Server 2008
    • 9 or 10 = Windows 7, Windows Server 2008 R2
    • 11 = SM_TABLETPC {system configuration setting}
    • 12 or 13 = Windows Server 2003 R2, Windows Home Server, Windows Server 2003
    • 14 = Windows XP
    • 15 = Windows 2000
  • av - value can be [1-12], folder exist %All Users Profile%\{AV}
    where "AV" folder name are the following:
    • 1 = AVAST Software
    • 2 = Avira
    • 3 = Kaspersky Lab
    • 4 = ESET
    • 5 = Panda Security
    • 6 = Doctor Web
    • 7 = AVG
    • 8 = 360TotalSecurity
    • 9 = Bitdefender
    • 10 = Norton
    • 11 = Sophos
    • 12 = Comodo
  • pc - Computer Name
  • un - UserName