TSPY_ZBOT.FAZ

スパイウェアは、リモートサイトにアクセスし、自身の環境設定ファイルをダウンロードします。この環境設定ファイルには、自身のコピーの更新版をダウンロードするURLおよび、収集した情報の送信先URLが含まれています。また、この環境設定ファイルには、ターゲットとする金融機関に関連するWebサイトのリストも含まれており、スパイウェアはこのリストをもとに情報を収集します。

スパイウェアがランダムにアクセスするURLは、コンピュータのシステム日時に基づいて算出されることにより生成されます。ただし、情報公開日現在、生成されるWebサイトにはアクセスできません。

スパイウェアは、侵入したコンピュータから特定の情報を収集します。

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}kplnnqsqe.org/news/?s={random}

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random}.{random} - encrypted file

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\{GUID}
• Local\{GUID}

スパイウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• ctfmon.exe
• dwm.exe
• explorer.exe
• rdpclip.exe
• taskeng.exe
• taskhost.exe
• wscntfy.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GUID = "%Application Data%\{random1}\{random}.exe"

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Disabled:Windows Explorer"

スパイウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{pseudorandom alpha characters}.biz/forum/
• http://{pseudorandom alpha characters}.org/forum/
• http://{pseudorandom alpha characters}.info/forum/
• http://{pseudorandom alpha characters}.net/forum/
• http://{pseudorandom alpha characters}.com/forum/

情報漏えい

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• http://assets.macys.com
• http://marketandtarget.com
• http://www.blogcdn.com
• http://www.chase.com
• http://www.gafringwirt.at
• http://www.marketandtarget.com
• https://*.ebanking-services.com/*/signin.aspx
• https://banking.postbank.de
• https://banking.sparda.de
• https://chaseonline.chase.com
• https://client.schwab.com
• https://content.usaa.com
• https://express.53.com
• https://gif.juniper.com/images/barclaycardus
• https://secure.americanexpress.com
• https://signin.fiabusinesscard.com
• https://static.my.commbank.com.au
• https://wellsoffice.wellsfargo.coms
• https://www.accountcentralonline.com
• https://www.bbvanetcash.com
• https://www.chase.com/personalData
• https://www.commerzbank.de
• https://www.discovercard.com
• https://www.ezcardinfo.com
• https://www.gotomycard.com
• https://www.hsbccreditcard.com
• https://www.ibsnetaccess.com
• https://www.macys.com
• https://www.myaccountaccess.com/onlineCard/static/elan/img
• https://www.nordstromcard.com
• https://www.partnercardservices.com
• https://www.pnccardservicesonline.com
• https://www.statementlook.com
• https://www.suntrust.com

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• American Express
• BBVA
• Barclays
• Blogcdn
• Chase
• CommBANK
• Commerzbank
• Discover Card
• Elan Financial Services
• FIA Card Services
• Fifth Third
• Gafringwirt
• GoToMyCard
• HSBC
• Macy's
• Market and Target
• Nordstrom Card
• PNC
• Partner Card Services
• Postbank
• Schwab
• Sparda
• StatementLook
• Suntrust
• USAA
• Wells Fargo
• eZCardInfo

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}kplnnqsqe.org/news/?s={random}

スパイウェアは、リモートサイトにアクセスし、自身の環境設定ファイルをダウンロードします。この環境設定ファイルには、自身のコピーの更新版をダウンロードするURLおよび、収集した情報の送信先URLが含まれています。また、この環境設定ファイルには、ターゲットとする金融機関に関連するWebサイトのリストも含まれており、スパイウェアはこのリストをもとに情報を収集します。

スパイウェアがランダムにアクセスするURLは、コンピュータのシステム日時に基づいて算出されることにより生成されます。ただし、情報公開日現在、生成されるWebサイトにはアクセスできません。

スパイウェアは、侵入したコンピュータから以下の情報を収集します。

• クッキーファイル内の情報(URL)
• Eメールに関連する情報（アカウント名、Eメールアドレス、パスワード、サーバの情報、サーバのポート）
• ユーザのWindowsアドレス帳のデータの保存に使用されるファイル（拡張子WAB）内のEメールに関連する情報