• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_ZBOT.USR

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

スパイウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

スパイウェアは、特定のWebサイトにアクセスします。ただし、情報公開日現在、このWebサイトにはアクセスできません。 スパイウェアは、実行後、自身を削除します。

---

  詳細

侵入方法

スパイウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TSPY_FAREIT.JBB

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\{random folder}\{random}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Address Book\{username}.wab
• %User Temp%\tmp{random values}.bat - Deletes the initial executed copy of malware and itself

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random folder}
• %Application Data%\Microsoft\Address Book

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random folder}\{random}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

HKEY_CURRENT_USER\Software\Microsoft\
WAB

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name
(Default) = "%Application Data%\Microsoft\Address Book\{username}.wab"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 1} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 2} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 3} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 4} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 5} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 6} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 7} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 8} = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft\
{random}
{random 9} = "{random characters}"

スパイウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
28577:TCP = "28577:TCP:Enabled:TCP 28577"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
17328:UDP = "17328:UDP:Enabled:UDP 17328"

情報漏えい

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• {BLOCKED}.{BLOCKED}.226.107
• {BLOCKED}.{BLOCKED}.41.188
• {BLOCKED}.{BLOCKED}.110.7
• {BLOCKED}.{BLOCKED}.120.64
• {BLOCKED}.{BLOCKED}.60.178
• {BLOCKED}.{BLOCKED}.127.98
• {BLOCKED}.{BLOCKED}.105.169
• {BLOCKED}.{BLOCKED}.147.191
• {BLOCKED}.{BLOCKED}.65.223
• {BLOCKED}.{BLOCKED}.174.163
• {BLOCKED}.{BLOCKED}.125.105
• {BLOCKED}.{BLOCKED}.237.35
• {BLOCKED}.{BLOCKED}.220.237
• {BLOCKED}.{BLOCKED}.64.46
• {BLOCKED}.{BLOCKED}.160.200

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.{BLOCKED}.226.107
• {BLOCKED}.{BLOCKED}.41.188
• {BLOCKED}.{BLOCKED}.110.7
• {BLOCKED}.{BLOCKED}.120.64
• {BLOCKED}.{BLOCKED}.60.178
• {BLOCKED}.{BLOCKED}.127.98
• {BLOCKED}.{BLOCKED}.105.169
• {BLOCKED}.{BLOCKED}.147.191
• {BLOCKED}.{BLOCKED}.65.223
• {BLOCKED}.{BLOCKED}.174.163
• {BLOCKED}.{BLOCKED}.125.105
• {BLOCKED}.{BLOCKED}.237.35
• {BLOCKED}.{BLOCKED}.220.237
• {BLOCKED}.{BLOCKED}.64.46
• {BLOCKED}.{BLOCKED}.160.200

その他

スパイウェアは、特定のWebサイトにアクセスします。ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com
• www.google.com.{local country code}

スパイウェアは、実行後、自身を削除します。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください