TROJ_BANKER.LXO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Winnet = {malware path and filename}

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• Banco Itau - Feito Para Voc - Mozilla Firefox
• Banco Santander (Brasil) S.A. - Mozilla Firefox
• Bradesco - Mozilla Firefox
• Bradesco Prime - Mozilla Firefox
• Bradesco Private Bank - Mozilla Firefox
• Personnalite - Mozilla Firefox
• Private Bank - Mozilla Firefox
• Uniclass - Mozilla Firefox
• http://www.bradesco.com.br/
• http://www.itau.com.br/
• http://www.santander.com.br/portal/gsb/script/templates/GCMRequest.do?page=3340

偽のログインページは、正規のログインページに重なり、Internet Explorer（IE）ウィンドウの一部であるように装います。偽のログインページは、正規のWebサイトにおいて決まった位置に表示されます。これにより、ユーザはアカウントに関連する個人情報を入力してしまう可能性があります。また、誤って偽ログインページにユーザ名やパスワードを入力した場合、キー入力操作情報が記録されます。

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Banco Itau
• Bradesco
• Santander

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.{BLOCKED}k.sitebr.net/arquivos/tabela.php

情報の送信先

マルウェアは、収集した情報を以下のＥメールアドレスに送信します。

• {BLOCKED}ahora2@gmail.com

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• 3099887031183a1429702c9d5c5e11c5

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• f4ae9a5aeeacc37cd8d06e809c77b0f865406b3f