TROJ_JORIK.AE

マルウェアは、Webサイトにアクセスし、ファイルをダウンロードします。これにより、感染コンピュータ上に他のマルウェアがダウンロードまたは作成されます。

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe
• %Application Data%\{random2}\{random}.foi

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のフォルダの属性をシステムフォルダおよび隠しフォルダに設定します。これにより、自身のコンポーネントの検出および削除を避けます。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{E379D685-3776-DAD3-83EA-65188718C6C4} = %Application Data%\{random1}\{random}.exe

ダウンロード活動

マルウェアは、Webサイトにアクセスし、以下のファイルをダウンロードします。

• http://{BLOCKED}retikru.com/asdfghjkl/endjiany.bin

情報漏えい

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このマルウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• !*.microsoft.com/*
• !http://*
• !http://*myspace.com*
• !http://*odnoklassniki.ru/*
• !http://vkontakte.ru/*
• *.americanexpress.com/myca/acctsumm/us/*
• @*/atl.osmp.ru/*
• @*/login.osmp.ru/*
• @*hbnet/login/login.aspx?organization*
• http://www.hsbccreditcard.com/ecare/images/logo_en_US_HS.gif
• http://www.macys.com/img/nav/co_macysLogo2.gif
• http://www.midwestrustic.com/Products/images/Web%20Links/American%20Express.jpg
• http://www.stlrcga.org/images/CommerceBank_logo.gif
• http://www.wachovia.com/files/pres/images/logo.gif
• http://www.wellsfargo.com/img/global/btn_blueslice.gif
• http://www.wellsfargo.com/img/header/logo_62sq.gif
• https://ajax.googleapis.com/ajax/libs/jquery/1.3.2/jquery.min.js
• https://ajax.googleapis.com/ajax/libs/jqueryui/1.7.1/jquery-ui.min.js
• https://ajax.googleapis.com/ajax/libs/jqueryui/1.7.1/jquery-ui.min.js
• https://ajax.googleapis.com/ajax/libs/jqueryui/1.7.1/themes/smoothness/ui.all.css
• https://ajax.googleapis.com/ajax/libs/jqueryui/1.7.1/themes/start/ui.all.css
• https://banking.commercebank.com/CBI/Accounts/CBI/Summary.aspx
• https://chaseonline.chase.com/MyAccounts.aspx
• https://online.citibank.com/US/*/portal/Home.do
• https://online.citibank.com/US/JPS/portal/Home.do
• https://online.wellsfargo.com/das/cgi-bin/session.cgi*
• https://onlinebanking#.wachovia.com/myAccounts.aspx*
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/CustomerServiceMenuEntryPoint?custAction=75
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
• https://sitekey.bankofamerica.com/sas/maint.do
• https://sitekey.bankofamerica.com/sas/sas-docs/js/commonscript.js
• https://www#.usbank.com/internetBanking/RequestRouter
• https://www.accountonline.com//cards/svc/img/logo/citi.gif
• https://www.accountonline.com/cards/svc/img/bg/bg_reg_nav.gif) 50% 50% repeat-x;}
• https://www.americanexpress.com/home/images/hpbkgrd_login.jpg) repeat-x;}
• https://www.bankofamerica.com//www/global/mvc_objects/images/mhd_reg_logo.gif
• https://www.cajalaboral.com/FirmaElectronica/img/00_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/01_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/02_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/03_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/04_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/05_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/06_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/07_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/08_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/09_off.gif
• https://www.chase.com/online/Home/images/chaseNewlogo.gif
• https://www.commercebank.com/images/buttons/loginButton.jpg) 50% 50% repeat-x; font-weight: normal; color: #ffffff; outline: none; }
• https://www.commercebank.com/images/common/bg-leftnav.jpg) left top repeat-x scroll;}
• https://www.gruposantander.es/*
• https://www.hsbccreditcard.com/ecare/viewaccount*
• https://www.ibsnetaccess.com/NASApp/NetAccess/*
• https://www.macys.com/css/yui/build/fonts/fonts.css
• https://www.macys.com/css/yui/build/reset/reset.css
• https://www.macys.com/signin/index.ognc
• https://www.paypal.com/##/cgi-bin/webscr*
• https://www.paypal.com/##/cgi-bin/webscr?cmd=_flow&SESSION=*
• https://www.paypal.com/##/cgi-bin/webscr?cmd=_login-done*
• https://www.paypal.com/##/cgi-bin/webscr?cmd=_profile-credit-card-new-clickthru
• https://www.suntrust.com/portal/server.pt?mode=*
• https://www.usbank.com/en/images/global/logo-usbank-siteheader.png

なお、このファイルの内容である監視Webサイトのリストは、常時変更されます。

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• American Express
• Bank of America
• Caja Laboral
• Chase
• Citibank
• HSBC
• Microsoft
• Myspace
• OSPM
• Odnoklassniki
• PayPal
• Santander
• Suntrust
• US Bank
• Vkontakte
• Wachovia
• Wells Fargo

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}retikru.com/asdfghjkl/pam/intravaca.php

その他

このマルウェアのコードから、マルウェアは、以下の機能を備えています。

• Arrives as a file downloaded from the following URL: http://{BLOCKED}s.ru/{BLOCKED}ouas/dkndsas.exe

解析の結果、マルウェアによるバックドア活動は確認されませんでした。

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• fdb597bc2dd2f1453c371e29e8191031

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• 716270493c80320660f90e21c37e73e59598392f