McAfee for Small Businesses

ウイルス名 危険度 PWS-Zbot.gen.bx 企業ユーザ: 低 個人ユーザ: 低 種別 トロイの木馬 最小定義ファイル (最初に検出を確認したバージョン) 6142 対応定義ファイル (現在必要とされるバージョン) 6149　（現在7077) 対応エンジン 5.3.00以降　(現在5.4.00)　 エンジンバージョンの見分け方 別名 Kaspersky - Trojan-Spy.Win32.Zbot.arei NOD32 - Win32/Spy.Zbot.YW Ikarus - Trojan-Spy.Win32.Zbot Microsoft - PWS:Win32/Zbot.gen!Y Kaspersky - Trojan-Spy.Win32.Zbot.ares NOD32 - Win32/Spy.Zbot.ZR Norman - W32/Zbot.VGB Microsoft - PWS:Win32/Zbot.gen!Y 情報掲載日 2010/11/12 発見日（米国日付） 2010/10/20 駆除補足 ウイルス駆除のヒント 概要 ウイルスの特徴 感染症状 感染方法 駆除方法

セキュリティ情報 最新ウイルス一覧へ >> 最新ウイルス 05/15 ZeroAccess!5... 05/15 VBS/LoveLett... 05/15 RDN/Generic ... 定義ファイル・エンジンの ダウンロード!    定義ファイル：7077  エンジン：5.4.00   ウイルス検索

ウイルスの特徴 TOPに戻る -- 2010年11月19日更新 -- ・実行時、以下のファイルをドロップ（作成）します。 %Appdata%\Microsoft\Address Book\[ユーザ名].wab %Appdata%\Microsoft\Address Book\[ユーザ名].wab~ %Appdata%\Epukta\voyx.tmp %Appdata%\Identities\{EBA1757B-EB14-4E48-8CE7-3AA790B4FB28}\Microsoft\Outlook Express\Folders.dbx %Appdata%\Identities\{EBA1757B-EB14-4E48-8CE7-3AA790B4FB28}\Microsoft\Outlook Express\Inbox.dbx %Appdata%\Identities\{EBA1757B-EB14-4E48-8CE7-3AA790B4FB28}\Microsoft\Outlook Express\Offline.dbx %Appdata%\Identities\{EBA1757B-EB14-4E48-8CE7-3AA790B4FB28}\Microsoft\Outlook Express\Sent Items.dbx ・以下のレジストリキーがシステムに追加されます。 HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Internet Explorer\Privacy HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Ucbaux ・以下のレジストリ値が追加されます。 HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Run\] “{C326FF9A-C26C-7A2D-9DD5-C208371285E5}” = "%Appdata%\Sealim\obdei.exe"" ・上記のレジストリにより、PWS-Zbot.gen.bxがRUN項目を乗っ取ったシステムに登録し、起動のたびに自身を実行するようにします。 [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Internet Explorer\Privacy\] “CleanCookies” = “0x00000000” ・上記のレジストリにより、PWS-Zbot.gen.bxによってInternet Explorerのクッキーの削除オプションが無効化されるようにします。 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\] “C:\WINDOWS\explorer.exe” = "C:\WINDOWS\explorer.exe:*:Enabled:Windows Explorer" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\] “C:\WINDOWS\explorer.exe” = "C:\WINDOWS\explorer.exe:*:Enabled:Windows Explorer" ・以下のレジストリ値が改変されます。 [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\] “1609” = “0x00000000” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1\] “1406” = “0x00000000” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\] “1609” = “0x00000000” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\] “1406” = “0x00000000” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\] “1406” = “0x00000000” ・上記のレジストリ項目により、PWS-Zbot.gen.bxによってInternet Explorerのセキュリティ設定が無効化されるようにします。 証明書 IEのクッキー キャッシュパスワード ・PWS-Zbot.gen.bxは上記の情報を乗っ取ったコンピュータから盗み出し、攻撃者に送信します。 [%UserProfile%はc:\Documents and Settings\Administrator\、%Temp%はC:\Documents and Settings\Administrator\Local Settings\Temp\、%SystemDrive%はオペレーティングシステムがインストールされているドライブで、通常はC:\] ・実行時、以下のファイルをドロップ（作成）します。 %Appdata%\Microsoft\Address Book\Administrator.wab %Appdata%\Microsoft\Address Book\Administrator.wab~ %Appdata%\Foheb\exyf.wyy %Appdata%\Goaqlo\ucke.cay %Appdata%\Goaqlo\ucke.tmp %Appdata%\Nuacat\icziy.exe [PWS-Zbot.gen.bxという名前で検出] %Appdata%\Rehevo\hicya.exe [PWS-Zbot.gen.bxという名前で検出] %Appdata%\Identities\{EBA1757B-EB14-4E48-8CE7-3AA790B4FB28}\Microsoft\Outlook Express\Folders.dbx %Appdata%\Identities\{EBA1757B-EB14-4E48-8CE7-3AA790B4FB28}\Microsoft\Outlook Express\Inbox.dbx %Appdata%\Identities\{EBA1757B-EB14-4E48-8CE7-3AA790B4FB28}\Microsoft\Outlook Express\Offline.dbx %Appdata%\Identities\{EBA1757B-EB14-4E48-8CE7-3AA790B4FB28}\Microsoft\Outlook Express\Sent Items.dbx %Temp%\tmp0be7418c.bat %Temp%\tmp860c6934.bat %Temp%\tmpdbfa5ff4.bat %USERPROFILE%\Start Menu\Programs\Startup\igzail.exe [W32/Zbotという名前で検出] %USERPROFILE%\Start Menu\Programs\Startup\Start Menu\Programs\StartUp\yndi.exe [W32/Zbotという名前で検出] %USERPROFILE%\Start Menu\Programs\Startup\ikdiy.exe [W32/Zbotという名前で検出] ・以下のレジストリキーがシステムに追加されます。 HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Internet Explorer\Privacy HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Xowa HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Ucwial HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\WAB ・以下のレジストリ値が追加されます。 HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Run\] “{1E2D2803-F1E8-7A2D-A097-4214038F05F9}” = ""%Appdata%\Nuacat\icziy.exe"" ・上記のレジストリにより、PWS-Zbot.gen.bxがRUN項目を乗っ取ったシステムに登録し、起動のたびに自身を実行するようにします。 [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Internet Explorer\Privacy\] “CleanCookies” = “0x00000000” ・上記のレジストリにより、PWS-Zbot.gen.bxによってInternet Explorerのクッキーの削除オプションが無効化されるようにします。 [HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\] “C:\WINDOWS\explorer.exe” = "C:\WINDOWS\explorer.exe:*:Enabled:Windows Explorer" [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List\] “C:\WINDOWS\explorer.exe” = "C:\WINDOWS\explorer.exe:*:Enabled:Windows Explorer" ・以下のレジストリ値が改変されます。 [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\0\] “1609” = “0x00000000” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\1\] “1406” = “0x00000000” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2\] “1609” = “0x00000000” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3\] “1406” = “0x00000000” [HKEY_CURRENT_USER\S-1-(不定)\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\4\] “1406” = “0x00000000” ・上記のレジストリ項目により、PWS-Zbot.gen.bxによってInternet Explorerのセキュリティ設定が無効化されるようにします。 証明書 IEのクッキー キャッシュパスワード ・PWS-Zbot.gen.bxは上記の情報を乗っ取ったコンピュータから盗み出し、攻撃者に送信します。 [%UserProfile%はc:\Documents and Settings\Administrator\、%Temp%はC:\Documents and Settings\Administrator\Local Settings\Temp\、%Appdata%はApplication Dataフォルダ] 以下の症状が見られる場合、このウイルスに感染している可能性があります。 TOPへ戻る 上記のファイルおよびレジストリキーが存在します。 感染方法 TOPへ戻る ・トロイの木馬は自己複製しません。多くの場合、その実行可能ファイルに何らかの利益があると思わせて手動で実行させることにより繁殖します。IRC、ピアツーピアネットワーク、ニュースグループへの投稿、スパムメールなどを通じて配布されます。 駆除方法 TOPへ戻る 脅威と危険と思われる要素を取り除くため、サポートされているすべてのWindowsに対して以下の処置を行ってください。 システムリストアを無効にしてください。(Windows ME/XPのみ) 脅威の検出・駆除のために最新のエンジンとDATにアップデートしてください。 Complete system scanを実行してください。 システムスタートアップをフックするためのシステムレジストリ、INIファイルの修正は、推奨エンジン/ウイルス定義ファイル以上を使用した場合は正常に駆除されます。 通常の修正が成功しなかった場合、サンプルを McAfee Labsまで送付してください。