• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_ZEGOST.IQ

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Current%\ccsbb.p7b
• %Current%\check.exe - also detected as TROJ_ZEGOST.IQ
• %Windows%\Installer\{random number}.msi
• %Windows%\Installer\{709599CB-4CDD-447D-825E-9D5D3EDD4325}\_.exe
• %User Temp%\新建文件夹 (2)\bankrun.exe
• %Application Data%\中华人民共和國最高人民检察院\安全插件\bdardrv.dll
• %Application Data%\中华人民共和國最高人民检察院\安全插件\bdcore.dll
• %Application Data%\中华人民共和國最高人民检察院\安全插件\CrashReport.dll

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のフォルダを作成します。

• %Windows%\Installer\{709599CB-4CDD-447D-825E-9D5D3EDD4325}
• %User Temp%\新建文件夹 (2)
• %Application Data%\中华人民共和國最高人民检察院
• %Application Data%\中华人民共和國最高人民检察院\安全插件

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\中华人民共和國最高人民检察院

HKEY_CLASSES_ROOT\Installer\Components\
6C1AB6DD283548F42B136B93C8681BB3

HKEY_CLASSES_ROOT\Installer\Components\
F0F1729FDFB0F604FB3061A694E0840B

HKEY_CLASSES_ROOT\Installer\Features\
BC995907DDC4D74428E5D9D5E3DD3452

HKEY_CLASSES_ROOT\Installer\Products\
BC995907DDC4D74428E5D9D5E3DD3452

HKEY_CLASSES_ROOT\Installer\UpgradeCodes\
34A016B5C9E3B9E43975A658053A01A2

その他

マルウェアは、自身の不正活動を実行する際、以下の文字列またはレジストリ値を追加します。

• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\Folders
• %Application Data%\中华人民共和國最高人民检察院\ 安全插件 = ""
• %Windows%\Installer\{709599CB-4CDD-447D-825E-9D5D3EDD4325} = ""
• HKEY_CLASSES_ROOT\Installer\Components\6C1AB6DD283548F42B136B93C8681BB3
• 限定符字符串 = "=rb3Ljj'$=YBN*FWR&}.>"
• HKEY_CLASSES_ROOT\Installer\Components\F0F1729FDFB0F604FB3061A694E0840B
• 限定符字符串 = "=rb3Ljj'$=YBN*FWR&}.>"
• HKEY_CLASSES_ROOT\Installer\Features\BC995907DDC4D74428E5D9D5E3DD3452
• MainFeature = ""
• HKEY_CLASSES_ROOT\Installer\Products\BC995907DDC4D74428E5D9D5E3DD3452
• ProductName = "安全插件"
• PackageCode = "D52C326865EFCEB44BFDF9DB82C3E262"
• Language = "804"
• Version = "1000000"
• Assignment = "1"
• AdvertiseFlags = "184"
• ProductIcon = "%Windows%\Installer\{709599CB-4CDD-447D-825E-9D5D3EDD4325}\_.exe"
• InstanceType = "0"
• AuthorizedLUAApp = "0"
• DeploymentFlags = "3"
• Clients = ":"
• HKEY_CLASSES_ROOT\Installer\UpgradeCodes\34A016B5C9E3B9E43975A658053A01A2
• BC995907DDC4D74428E5D9D5E3DD3452 = ""

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://www.download{BLOCKED}date.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt
• http://www.download{BLOCKED}date.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください