TSPY_ZBOT.NQK

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

スパイウェアは、感染コンピュータから特定の情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random folder 2}\random file name 2}.{random extension name 1} - contains encrypted stolen data
• %Application Data%\ie_util.exe - also detected as TSPY_ZBOT.NQK
• %Application Data%\{random folder 3}\random file name 3}.{random extension name 2} - contains encrypted stolen data

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder 1}\{random file name 1}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe
• taskhost.exe
• taskeng.exe
• Dwm.exe
• wscntfy.exe
• ctfmon.exe
• rdpclip.exe

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random folder 1}
• %Application Data%\{random folder 2}
• %Application Data%\{random folder 3}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Random GUID} - multiple instances
• FOCTRLM
• FOIDCTRL{Process ID}

スパイウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したスパイウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random folder 1}\{random file name 1}.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
IExplorer Util = "%Application Data%\ie_util.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

HKEY_CURRENT_USER\Software\Microsoft\
WAB

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Microsoft\{random}
{random characters 1} = {random values}

HKEY_CURRENT_USER\Microsoft\{random}
{random characters 2} = {random values}

HKEY_CURRENT_USER\Microsoft\{random}
{random characters 3} = {random values}

スパイウェアは、インストールの過程で以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanBrowsingHistoryOnExit = "0"

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}houghmid.su/nsa/file.php

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\tmp{random string}\543.exe - updated copy of itself

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}houghmid.su/nsa/file.php|file=zih.set
• http://{BLOCKED}cumentat.su/nsa/file.php|file=zih.set

スパイウェアは、感染コンピュータから以下の情報を収集します。

• FTP credentials
• Internet session cookies
• Flash player data
• Personal certificates

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}centerpi.su/myz/olsa.php

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com