TSPY_ZBOT.YUYAEJ

2015年6月24日

解析者: Pearl Charlaine Espejo

別名:

Trojan horse Inject2.CICO (AVG); a variant of Win32/Injector.CCQG trojan (ESET-NOD32)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

スパイウェアマルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したスパイウェア）を削除します。

詳細

ファイルサイズ 222,208 bytes

タイプ EXE

メモリ常駐はい

発見日 2015年6月17日

ペイロードファイルのダウンロード, URLまたはIPアドレスに接続

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%Application Data%\{random folder 1}\{random filename 1}.exe

スパイウェアは、以下のファイルを作成します。

%Application Data%\{random folder 2}\{random filename 2}.tmp
%Application Data%\{random folder 2}\{random filename 2}.{random extension}
%User Temp%\tmp{random characters}.bat
%Application Data%\Microsoft\Address Book\{username}.wab (for Windows XP and below)

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下のフォルダを作成します。

%Application Data%\{random folder 1}
%Application Data%\{random folder 2}

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random folder 1}\{random filename 1}.exe "

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
WAB (for Windows XP and below)

HKEY_CURRENT_USER\Software\Microsoft\
{random key}

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
WarnonBadCertRecving = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
EnableSPDY3_0 = "0"

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%WINDOWS%\explorer.exe = "%WINDOWS%\explorer.exe:*:Enabled:Windows Explorer"

HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random} = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0" (for Windows XP and below)

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0" (for Windows XP and below)

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = "1" (for Windows XP and below)

スパイウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Lockdown_Zones\0
1609 = "0"

(註：変更前の上記レジストリ値は、「"1"」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1A05 = "0"