TSPY_ZBOT.YUYAED

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成し実行します。

• %User Temp%\tmp{random}.bat ← use to delete its initially executed copy and this component file itself

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下の無害なファイルを作成します。

• %Application Data%\{random existing folder 2}\{random file name 2}.tmp
• %Application Data%\{random existing folder 3}\{random file name 3}.{random extension}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random existing folder 1}\{random file name 1}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\{GUID}
• Global\{GUID}

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name 1}.exe = "%Application Data%\{random existing folder}\{random file name 1}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random key}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnonBadCertRecving = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
EnableSPDY3_0 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Lockdown_Zones\0
1609 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random} = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = %Windows%\explorer.exe:Enabled:Windows Explorer

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• {BLOCKED}y.su/anime.jpg
• {BLOCKED}p.su/girls.jpg

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• yandex.ru

スパイウェアが作成する以下のファイルは、最初に実行されたコピーおよび自身のコンポーネントファイルを削除するために利用されるファイルです。

• %User Temp%\tmp{random}.bat

スパイウェアは、1つ以上の以下のレジストリキーを追加する可能性があります。スパイウェアは、"%SystemRoot%\myapp.exe"がコンピュータ内に存在する場合は、自身を終了します。

• HKEY_CURRENT_USER\Software\Microsoft\{random key}

環境設定ファイルに含まれる情報は、以下のとおりです。

• 自身のコピーの更新版をダウンロードするURL
• スパイウェアが収集した情報の送信先URL
• 情報の収集元となる対象とするオンライン銀行や金融関連WebサイトのURL

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。