TSPY_ZBOT.YYDBZ

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Temp%\{random folder name}\{random filename 1}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のファイルを作成します。

• %System%\drivers\{random filename 2}.sys - detected as RTKT_NECURS.RBC

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

スパイウェアは、以下の無害なファイルを作成します。

• %AppDataLocal%\{random filename 3}.{random extension}

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のフォルダを作成します。

• %User Temp%\{random folder name}

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Local\{GUID}
• Global\{GUID}

スパイウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random filename 1} = "%User Temp%\{random folder name}\{random filename 1}.exe"

スパイウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
DisplayName = "{random filename 1}.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
ErrorControl = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
ImagePath = "\??\%System%\drivers\{random filename 2}.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}
Start = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}\Security
Security = "{hex value}"

スパイウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random filename 2}\Security

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

スパイウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{random port 1}:UDP = "{random port 1}:UDP:*:Enabled:UDP {random port 1}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
{random port 2}:TCP = "{random port 2}:TCP:*:Enabled:TCP {random port 2}"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Data on cookie files (URLs)
• Email-related information such as account names, email addresses, passwords, server data, and server port
• Email information stored in the user’s Windows Address Book (WAB) file
• Online banking credentials
• Personal digital cerificate

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}wslxpvvphxnjij.biz
• http://{BLOCKED}uzllfeyhcuzddpfafuyp.ru
• http://{BLOCKED}buzttmrciuomjwrcjr.info
• http://{BLOCKED}dmzswgexoqzlfaddqvgjuw.biz
• http://{BLOCKED}nk.fbi-cyber.net
• http://{BLOCKED}rgdqkfdujrfqwkhapbsg.org
• http://{BLOCKED}gytwxwkfbyldaqea.info
• http://{BLOCKED}.{BLOCKED}.4.71
• http://{BLOCKED}.{BLOCKED}.43.69

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://google.com
• http://bing.com

スパイウェアは、実行後、自身を削除します。

スパイウェアが作成する以下のファイルは、「RTKT_NECURS.RBC」として検出されます。

• %System%\drivers\{random filename 2}.sys

スパイウェアが収集する情報は、以下のとおりです。

• Cookie ファイル内のデータ（URL情報）
• アカウント名やEメールアドレス、パスワード、サーバのデータ、サーバのポートといったEメールに関連する情報
• ユーザのWindowsアドレス帳ファイル（拡張子WAB）内に保存されているメール情報
• オンライン銀行の認証情報
• 個人用電子証明書

スパイウェアは、以下の文字列を含む特定の金融／銀行関連のプログラムから情報を収集します。

• bancline
• bankman
• cruisenet
• dirclt32.exe
• episys
• fastdoc
• fdmaster.exe
• fidelity
• gplusmain
• jack henry
• launchpadshell.exe
• micrsolv
• pcsws.exe
• prologue.exe
• silverlake
• tellerplus
• v48d0250s1
• vantiv
• wtng.exe

スパイウェアは、ルートキット機能を備えていません。

スパイウェアは、脆弱性を利用した感染活動を行いません。