TSPY_ZBOT.YUYAGF

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\{GUID}
• Global\{GUID}

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "{malware path and filename}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random key}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random} = "{hex values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnonBadCertRecving = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
EnableSPDY3_0 = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\explorer.exe = "%System%\explorer.exe:*:Enabled:Windows Explorer"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

ダウンロード活動

スパイウェアは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

• https://{BLOCKED}um.net/s186/klj15.exe

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• https://{BLOCKED}um.net/s186/lkp5.jpg
• https://{BLOCKED}dic.com/s186/lkp6.jpg
• https://{BLOCKED}haw.com/s186/lkp7.jpg

環境設定ファイルは、以下の情報を含んでいます。

• URLs where it downloads an updated copy of itself
• URLs where it sends its gathered information
• URLs of its target online banking and finance-related sites from where it steals the information

スパイウェアは、以下の情報を収集します。

• Data on cookie files (URLs)
• Email-related information such as account names, email addresses, passwords, server data, and server port
• Email information stored in the user's Windows Address Book (WAB) file
• Online banking credentials
• Personal digital certificate

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}um.net/s186/zzz.php

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.yandex.ru

スパイウェアは、実行後、自身を削除します。

環境設定ファイルは、以下の情報を含んでいます。

• 自身のコピーの更新版をダウンロードするURL
• 収集した情報の送信先URL
• スパイウェアが情報を収集する標的となる、オンライン銀行および金融関連WebサイトのURL

スパイウェアが収集する情報は以下のとおりです。

• Cookie ファイル内の情報（URL情報）
• アカウント名やEメールアドレス、パスワード、サーバのデータ、サーバのポートといったEメールに関連する情報
• ユーザのWindowsアドレス帳ファイル（拡張子WAB）内に保存されているEメール情報
• オンライン銀行関連の個人情報
• 個人デジタル証明書

標的とした金融関連WebサイトのURLのいずれかを訪れると、コードをブラウザに組み込んで以下のURLにアクセスし、スパイウェアは「Man-In-The-Middle（MitM、中間者）攻撃」を実行します。

• https://{BLOCKED}ommote.com/gate/script/{BOTID}/JP/{target bank-related URL}/{scriptname}.js

スパイウェアは、ルートキット機能を備えていません。

スパイウェアは、脆弱性を利用した感染活動を行いません。