ネットバンキングユーザーを狙う「URLZone」が国内で増加 - ファイア・アイ

これは有効なURLが見つかるまで継続して行われる。DGAは、前回使用したURLをシードとして、別のドメイン名を生成する。

持続性を保持するために、レジストリ構成を消去する方法がログオフ、再起動、シャットダウンの時に限られる。その際、「WM_QUERYENDSESSION」のウィンドウメッセージを監視するウィンドウプロシージャが用いられる。

レジストリの消去は、次のような方法で行われる。まず所定の文字列リストからランダムに生成されたファイル名を使用し、%ProgramFiles%(Windows XPの場合)、%AppData%(Windows Vistaの場合)にコピーを作成する(以下%dropfilepath%)。

次にウィンドウメッセージの監視用にウィンドウプロシージャを登録し、最後にウィンドウプロシージャがシステムに送られるウィンドウメッセージを確認し、悪意のあるルーチンを実行するため、WM_QUERYENDSESSIONのウィンドウメッセージを待機する。

また、ランダムなファイル名の生成が行われており、ユニークなアルゴリズムを使用していることもわかった。多くのトロイの木馬は、ドロップされたファイル名に、でたらめな文字列を使うが、URLZoneの場合、ドロップされたファイルの名前の生成には、文字列の配列が使われている。