解析者: Nikko Tamana   
 別名:

W32/Kryptik.HZ!tr (Fortinet), W32/Zbot.DF.gen!Eldorado (FProt), Trojan-Spy.Win32.Zbot (Ikarus), PWS:Win32/Zbot.gen!AF (Microsoft), Win32/Spy.Zbot.YW trojan (NOD32), Trojan.Zbot!gen27 (Norton), Gen:Variant.Zusy.410 (Bitdefender)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 感染確認数:
 システムへの影響:
 情報漏えい:

  • マルウェアタイプ:
    スパイウェア

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスします。これにより、不正リモートユーザにスパイウェアのインストールが知らされます。また、不正なファイルがダウンロードされます。この結果、感染コンピュータは、さらなる他の脅威にさらされることとなります。

  詳細

メモリ常駐 はい
発見日 2012年10月4日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成し実行します。

  • %Application Data%\{random folder name}\{random file name}.exe
  • %User Temp%\TMP{random name}.bat

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。. %User Temp%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\Temp"、Windows NT の場合、"C:\Profiles\＜ユーザー名＞\TEMP"、Windows 2000、XP、Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\TEMP" です。)

ダウンロード活動

スパイウェアは、以下の不正Webサイトにアクセスします。

  • {random}.biz
  • {random}.com
  • {random}.ru
  • {random}.ru.local
  • {random}.org
  • {random}.info
  • {random}.net

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

  • http://www.bing.com
  • http://www.google.com