TSPY_ZBOT.ABS

2016年4月2日

プラットフォーム:

Windows

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ:
スパイウェア
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 398,720 bytes

タイプ EXE

メモリ常駐はい

発見日 2016年4月2日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%User Temp%\jsbgfr.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下のフォルダを作成します。

%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content
%User Profile%\Microsoft\Address Book
%Application Data%\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\Microsoft\Outlook Express
%System Root%\Documents and Settings\Wilbert
%Application Data%\Identities
%Application Data%\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}
%Application Data%\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\Microsoft
%User Profile%\Application Data\Muelit
%User Profile%\Application Data\Zyarxe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GUFVbsrkj = "%User Temp%\jsbgfr.exe"

他のシステム変更

スパイウェアは、以下のファイルを削除します。

{malware path and file name}:zone.identifier
%Temp%\432fggqdd.txt
%Temp%\4fggqdd.txt
%User Temp%\FB_16T~1.EXE

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Mail

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\News

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Trident\Settings

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Trident\Main

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Rules\Mail

HKEY_CURRENT_USER\Software\Microsoft\
Soofb

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnonBadCertRecving = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
EnableSPDY3_0 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Soofb
Alfaixus = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Server ID = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Server ID = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Server ID = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Server ID = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Server ID = "4"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
PreConfigVer = "4"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
PreConfigVerNTDS = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
Account Name = "Active Directory"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Server = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Authentication = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Simple Search = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Bind DN = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Port = "cc4"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Resolve Flag = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Secure Connection = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP User Name = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Search Base = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
Account Name = "Bigfoot Internet Directory Service"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Server = "ldap.bigfoot.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP URL = "http://www.{BLOCKED}t.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Authentication = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Simple Search = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Logo = "%ProgramFiles%\Common Files\Services\bigfoot.bmp"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
Account Name = "VeriSign Internet Directory Service"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Server = "directory.verisign.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP URL = "http://www.{BLOCKED}gn.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Authentication = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Search Base = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Simple Search = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Logo = "%ProgramFiles%\Common Files\Services\verisign.bmp"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
Account Name = "WhoWhere Internet Directory Service"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Server = "ldap.whowhere.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP URL = "http://www.{BLOCKED}re.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Authentication = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Simple Search = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Logo = "%ProgramFiles%\Common Files\Services\whowhere.bmp"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Default LDAP Account = "Active Directory GC"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}
Identity Ordinal = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
ConnectionSettingsMigrated = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
VerStamp = "3"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
SpellDontIgnoreDBCS = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Mail
Welcome Message = "{random values}"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Mail
Accounts Checked = "{random values}"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\News
Accounts Checked = "{random values}"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
MSIMN = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
AssociatedID = "{random values}"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
StoreMigratedV5 = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
ConvertedToDBX = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
Settings Upgraded = "7"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Mail
Safe Attachments = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
Running = "1"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Mail
Welcome Message = "0"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
SpoolerDlgPos = "{random values}"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
SpoolerTack = "0"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
Running = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Soofb
Byoharbi = "{random values}"

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"