TROJ_BANKER.WYZ

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。この結果、マルウェアの不正活動が感染コンピュータ上で展開されることとなります。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

マルウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• iexplore.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{hostname} = "regsvr32 /s "%Application Data%\{hostname}.jpg""

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\id - {Download URL}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.143.154/testam51/tsb{number}.html

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\{hostname}.jpg

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、ダウンロードしたファイルを実行します。この結果、マルウェアの不正活動が感染コンピュータ上で展開されることとなります。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}.{BLOCKED}.143.154/testam51/infx/s1/conta.php?chave={decryption key}&url={hostname} {filesize of downloaded} {Language Information}