TROJ_BANKER.SCR

これは、不正なDLLファイルです。マルウェアは、Internet Explorer （IE）のアドレスバーをモニターし、ユーザが特定の文字列を含むWebサイトにアクセスするかどうかを監視します。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_DLOADR.SCR

自動実行方法

マルウェアは、以下のレジストリ値を追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとマルウェアが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{FFADDC14-BA46-4A8A-984A-ADBE1C6D37EA}\InProcServer32
@ = {malware path and file name}.DLL

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{FFADDC14-BA46-4A8A-984A-ADBE1C6D37EA}

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Windows%\inf\update.exe - detected as TSPY_ZBOT.TOL

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

マルウェアは、ダウンロードしたファイルを実行します。

その他

マルウェアは、不正なDLLファイルです。マルウェアは、Internet Explorer （IE）のアドレスバーをモニターし、ユーザが以下の文字列を含むWebサイトにアクセスするかどうかを監視します。

• /EBC_EBC1961
• /ebc_ebc1961
• commercial.wachovia.com
• wc.wachovia.com
• wcp.wachovia.com
• chsec.wellsfargo.com
• wellsoffice.wellsfargo.com
• ceowt.wellsfargo.com
• wellsnet.wellsfargo.com
• treasury.pncbank.com
• infoplus.mandtbank.com
• webbankingforbusiness.mandtbank.com
• gateway.firstbanks.com
• capitalonebank.com
• businessonline.huntington.com
• .53.com
• singlepoint.usbank.com
• directline4biz.com/bbwflow1
• directline4biz.com
• ctreporter.coletaylor.com
• thebeneficial-corpbank.com
• treasurydirect.soc.tdbank.com
• netconnect.bokf.com
• e-access.compassbank.com
• direct.bankofamerica.com
• businessaccess.citibank.citigroup.com
• bbvanetcash.com
• cashproonline.bankofamerica.com
• treasurypro.umpquabank.com
• bob.sovereignbank.com
• citizensbankmoneymanagergps.com
• citizensbankonline.com
• netteller.com
• commercial.bnc.ca
• intrusttreasury.com
• salesforce.com
• cityntl.webcashmgmt.com
• eastwestbank.webcashmgmt.com
• ffce.webcashmgmt.com
• onb.webcashmgmt.com
• webcashmgmt.com
• manufacturers.web-access.com
• mgt.frostbank.com
• web-access.com
• secureinternetbank.com/WebCaptureWeb
• hsbcnet.com
• scotiabank.com
• enterprise2.openbank.com
• tdcommercialbanking
• tdcecorp.com
• ucbecorp.com
• commbank.com.au
• comerica.com
• bankwest.com.au
• nab.com.au
• treasuryservices
• banknow.
• texascapitalbank.com
• wcb.com
• tmcb.zionsbank.com
• secure-eccu.org
• goldleafach.com
• bpna.webcashmanager.com
• huntington.enterprisebanker.com
• sterlingbank.enterprisebanker.com
• integrabank.enterprisebanker.com
• fnfgbusinessonline.enterprisebanker.com
• republicbank.enterprisebanker.com
• wcma.businesscenter.ml.com
• nhsb.wblnk.com
• otm.suntrust.com
• businessportal.mibank.com
• tcfexpressbusiness.com
• mibusinessonlinebanking.ebanking-services.com
• peoplesunited.ebanking-services.com
• firstbusiness.ebanking-services.com
• citidirect-eb.citicorp.com
• ktt.key.com
• ktt4c.key.com
• kbo.key.com
• access.jpmorgan.com
• tssportal.jpmorgan.com
• srvc2.jpmorgan.com
• srvc1.jpmorgan.com
• banquepopulaire.fr
• credit-agricole.fr
• onesource.ubs.com
• onlineserv/CM
• directnet.com
• direct.db.com
• businessbankingcenter.synovus.com
• cashman.arvest.com
• secure.fundsxpress.com
• www.business.barclays.co.uk
• dzbank.de
• combnk.com
• sso.usbib.net.hsbc.com
• smbc.co.jp
• auth.carolinetools.com
• etreasury.carolinetools.com
• businessnet.bankaustria.at
• online.bankaustria.at
• corporateconnect.net
• e-moneyger.com
• sso.unionbank.com
• cmserver
• /wire
• cashm
• treasury
• direct.bank
• webcm
• business
• /admin/
• goldleaf
• wires
• ebanking-services.com
• megabank
• royalbank.com
• rbc.com
• rbc.ca
• businessbank
• westernunion
• frostbank

マルウェアは、上記のいずれかの文字列を含むWebサイトを確認した場合、以下のいずれかのWebサイトにアクセスし、不正なファイルをダウンロード、実行します。

• http://www.{BLOCKED}ellphotos.com/images/img_49jfdnmgudfg.jpg
• http://www.{BLOCKED}i.com/img_49jfdnmgudfg.jpg
• http://{BLOCKED}ling.com/img_49jfdnmgudfg.jpg
• http://www.{BLOCKED}osshrco.org/img_49jfdnmgudfg.jpg