TSPY_ZBOT.HIZ

2013年11月26日

別名:

PWS:Win32/Zbot (Microsoft); PWS-Spyeye.cj (McAfee); Trojan-Spy.Win32.Zbot.cndd (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt); Gen:Variant.Kazy.41772 (FSecure)

プラットフォーム:

Windows 2000, Windows, XP, Windows Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアマルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したスパイウェア）を削除します。

詳細

ファイルサイズ 140,800 bytes

タイプ EXE

メモリ常駐はい

発見日 2011年11月19日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを作成します。

%User Profile%\Application Data\Haetdu
%User Profile%\Application Data\Comizi

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{81C8C96E-91A5-EB41-4FB4-B95E9A545411} = ""%User Profile%\Haetdu\cizo.exe""

他のシステム変更

スパイウェアは、以下のファイルを削除します。

%User Profile%\Comizi\awiwu.tmp

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Miyry

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Miyry
Ikitzie = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Server ID = 4

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = 1

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
ConnectionSettingsMigrated = 1

HKEY_CURRENT_USER\Identities\{341F68BA-C841-4200-A7B4-3D5CFF202166}\
Software\Microsoft\Outlook Express\
5.0
StoreMigratedV5 = 1

HKEY_CURRENT_USER\Identities\{341F68BA-C841-4200-A7B4-3D5CFF202166}\
Software\Microsoft\Outlook Express\
5.0
Settings Upgraded = 7

HKEY_CURRENT_USER\Identities\{341F68BA-C841-4200-A7B4-3D5CFF202166}\
Software\Microsoft\Outlook Express\
5.0
Running = 1

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
AssociatedID = {random values}

HKEY_CURRENT_USER\Software\Microsoft\
Miyry
Meqiopi = {random values}

スパイウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Identities
Last Username = "Main Identity"

(註：変更前の上記レジストリ値は、「Main Identity」となります。)

HKEY_CURRENT_USER\Identities
Last User ID = "{341F68BA-C841-4200-A7B4-3D5CFF202166}"

(註：変更前の上記レジストリ値は、「{5D1D9894-914A-4AF9-BD82-81F349A83013}」となります。)

HKEY_CURRENT_USER\Identities
Identity Login = 9853

(註：変更前の上記レジストリ値は、「98053」となります。)

HKEY_CURRENT_USER\Identities
Identity Ordinal = 2

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
WBEM\WDM
%System%\advapi32.dll[MofResourceName] = "LowDateTime:-878345984,HighDateTime:29653303***Binary mof compiled successfully"