TSPY_ZBOT.MMV

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\Haycakim
• %User Temp%\tmp4b4e7bff
• %User Profile%\Application Data\Idraam

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
1789800814 = "%User Profile%\Haycakim\pooruzo.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
1789800814 = "%User Profile%\Haycakim\pooruzo.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
3443180054 = "%User Profile%\Idraam\awidc.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
3443180054 = "%User Profile%\Idraam\awidc.exe"

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %User Temp%\TMP4B4~1.EXE

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Session Manager\SubSystems
Windows = "{random characters}"

(註：変更前の上記レジストリ値は、「{random values}」となります。)

作成活動

スパイウェアは、以下のファイルを作成します。

• %User Profile%\Haycakim\pooruzo.exe
• %Windows%\Tasks\Security Center Update - 4056810648.job
• %User Temp%\tmp4b4e7bff.exe
• %User Profile%\Idraam\awidc.exe
• %Windows%\Tasks\Security Center Update - 4110276877.job
• %System%\winsec.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}dom.com/b/opt/CFB2244D70AAD4C6CE8619A4
• http://{BLOCKED}dom.com/b/opt/47F45663BB7FA78105536AE3
• http://{BLOCKED}dom.com/b/opt/41C1480A17D2A19FA9FE6CFD
• http://{BLOCKED}dom.com/b/opt/C3BCC63C98C65A5C26EA973E
• http://{BLOCKED}dom.com/b/opt/4DF5659CDD9DEEB963B123DB
• http://{BLOCKED}dom.com/b/opt/1DAA0B61F982DE2F47AE134D
• http://{BLOCKED}dom.com/b/opt/303262F1E8D4417B56F88C19
• http://{BLOCKED}dom.com/{random path}
• http://{BLOCKED}dom.com/b/opt/B469F9D749E3DF56F7CF1234
• http://{BLOCKED}dom.com/b/req/E6D8C6863C782A118254E773

スパイウェアは、実行後、自身を削除します。

このウイルス情報は、自動解析システムにより作成されました。