TSPY_ZBOT.EJSV

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、レジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。これにより、感染コンピュータ上でこのスパイウェアが削除されるのを避けます。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを作成します。

• %System Root%\Documents and Settings\Wilbert
• %User Profile%\Application Data\SNF

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\WinRAR SFX

スパイウェアは、以下のレジストリキーおよびレジストリ値を追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_CURRENT_USER\Software\WinRAR SFX
C%%Documents and Settings%Wilbert%Application Data%SNF = "%User Profile%\Application Data\SNF"

作成活動

スパイウェアは、以下のファイルを作成します。

• __tmp_rar_sfx_access_check_43890
• SNF.exe
• xcldi.sfe
• mqacd.hqu
• ohofj.cds
• lwmee.wds
• vxbsi.uww
• xfadj.qlp
• aqvxx.num
• kwbjo.sai
• fdnao.obs
• kjhco.fal
• tmffh.rtj
• bdjgc.rcd
• jvgxa.fpk
• ctfja.hhi
• axlfp.cfe
• snemk.wji
• pafiq.qcu
• tdaaw.env
• kucsq.kvo
• berhd.rxc
• vtmgo.mtx
• dpdxo.odh
• njcqt.ues
• atjxd.unm
• ucxmo.hoa
• mojkl.imj
• wbfis.gmx
• rcgne.ecc
• hjfew.qal
• SNF
• CLSP
• %User Temp%\aut23.tmp
• 64954wV4KpvsCl59Zjv20p344n77.59rX
• %User Temp%\aut27.tmp
• 452wshUhL91ZYI8F92Q1996g11058vo0BV14.f197

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

このウイルス情報は、自動解析システムにより作成されました。