TROJ_CARBERP.C

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、感染コンピュータ上の特定の情報を収集します。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のコンポーネントファイルを作成します。

• %User Startup%\chkntfs.dat - configuration file

(註： %User Startup%フォルダは、通常、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" 、Windows NTの場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows 2000、XP、Server 2003の場合、"C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup " です。)

マルウェアは、以下の通常のプロセスにスレッドを組み込みます。

• svchost.exe
• Explorer.exe

自動実行方法

マルウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• chkntfs.exe

バックドア活動

マルウェアは、以下のポートを開き、リモートコマンドを待機します。

• Port 80

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• https://banking.postbank.de/
• https://internetbanking.gad.de/

マルウェアは、感染コンピュータ上の以下の情報を収集します。

• User name
• Operating system
• Computer name
• Host name
• Country
• Language
• Time
• Windows Product Key
• Uptime
• Hard disk Information
• Running Processes

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Postbank
• GAD

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}ox.org/tiger/CMP/xort3h47Far.php

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}m.com
• {BLOCKED}send.com
• {BLOCKED}rld-auto.org

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• 174fbdd1d1d86fdd1b8c08191c3c5b38

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• 570555036571300f10040ba92a22876d5a23264d