TSPY_ZBOT.SMA7

2014年6月18日

解析者: Jaime Benigno Reyes

別名:

PWS:Win32/Zbot.gen!Y (Microsoft), PWS-Zbot.gen.ary (McAfee)

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

詳細

ファイルサイズ 297,472 bytes

タイプ EXE

メモリ常駐はい

発見日 2013年3月22日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

%Application Data%\{random folder 2}\{random file name 2}.{random extension name}
%Application Data%\{random folder 3}\{random file name 3}.{random extension name}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%Application Data%\{random folder 1}\{random file name 1}.exe

スパイウェアは、以下のフォルダを作成します。

%Application Data%\{random folder 1}
%Application Data%\{random folder 2}
%Application Data%\{random folder 3}

スパイウェアは、実行後、自身を削除します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random folder 1}\{random file name 1}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random key}

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

{BLOCKED}a.ru
{BLOCKED}att.ru
{BLOCKED}tupa.com
{BLOCKED}ock.ru
{BLOCKED}m.{BLOCKED}o.am
{BLOCKED}n.ru
{BLOCKED}akt2.ru
{ BLOCKED}m.ru
{BLOCKED}imus.ru
{BLOCKED}n.org
{BLOCKED}.{BLOCKED}ka.ru
{BLOCKED}kirovatdostup.ru
http://{random}.com/{random}/{random}.php
http://{BLOCKED}b.{BLOCKED}up.com/web/newsfeeds.php