TSPY_ZBOT.PIO

2012年10月9日

解析者: Jed Valderama

別名:

Kaspersky: Trojan-Spy.Win32.Zbot.enkv, Symantec: Win32/Spy.Zbot.AAO trojan

プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

このファイルには、スパイウェアが他のファイルをダウンロードするためにアクセスするURLが含まれています。

詳細

ファイルサイズ 194,290 bytes

タイプ EXE

発見日 2012年8月9日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

%Application Data%\{random letters 1}\{random letters}.exe - copy of itself
%Application Data%\{random letters 2}\{random letters}.{random letters} - encrypted file

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のフォルダを作成します。

%Application Data%\{random letters 1}
%Application Data%\{random letters 2}

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random letters 1}\{random letters}.exe"

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random letters}

その他

このファイルには、スパイウェアが他のファイルをダウンロードするためのURLが含まれています。情報公開日現在、このファイルには以下のURLが含まれています。

http://{BLOCKED}rmvare114.in/run45/file.php|file=cc45.bin