TROJ_ZBOT.BYY

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 ユーザが監視サイトのいずれかにアクセスすると、マルウェアは、キー入力操作情報を収集します。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

感染ポイント

マルウェアは、以下のWebサイトからダウンロードされたファイルとして、コンピュータに侵入します。

• http://{BLOCKED}izard.com/dee/dee.exe

インストール

マルウェアは、以下のフォルダの属性をシステムフォルダおよび隠しフォルダに設定します。これにより、自身のコンポーネントの検出および削除を避けます。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{73CFE89E-3F12-80ED-7935-F6B7FDCAFB87} = %Application Data%\{random1}\{random}.exe

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe
• %Application Data%\{random2}\{random}.irg

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

情報漏えい

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}zard.com/dee/ger.ma

ユーザが監視サイトのいずれかにアクセスすると、マルウェアは、キー入力操作情報を収集します。

マルウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このマルウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• !*.microsoft.com/*
• !http://*myspace.com*
• !http://*odnoklassniki.ru/*
• !http://vkontakte.ru/*
• *.de/portal/portal/*
• https://*commerzbanking.de*
• https://anti-phishing.ru/AZ777.old/ap/commerzbanking.de/
• https://anti-phishing.ru/AZ777.old/ap/commerzbanking.de/script.js
• https://anti-phishing.ru/AZ777.old/ap/deutsche.de/DisplayStatementOfAssets.js
• https://anti-phishing.ru/AZ777.old/ap/deutsche.de/Login.js
• https://anti-phishing.ru/AZ777.old/ap/deutsche.de/_common.js
• https://anti-phishing.ru/AZ777.old/ap/deutsche.de/european.transfer.enter.data.js
• https://anti-phishing.ru/AZ777.old/ap/deutsche.de/history.js
• https://anti-phishing.ru/AZ777.old/ap/deutsche.de/itan.authorization.dispatch.js
• https://anti-phishing.ru/AZ777.old/ap/deutsche.de/itan.authorization.js
• https://anti-phishing.ru/AZ777.old/ap/deutsche.de/select.type.of.js
• https://anti-phishing.ru/AZ777.old/ap/deutsche.de/send.authorization.js
• https://anti-phishing.ru/AZ777.old/ap/fiducia.de/script.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/_euueberweisung.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/_sepaueberweisung.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/euuebereintrag.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/euueberfrage.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/euueberweisung.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/finanzstatus.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/kontodetails.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/login.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/sepauebereintrag.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/sepaueberfrage.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/sepaueberweisung.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/uebereintrag.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/umsatz.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.cgi/umswahl.js
• https://anti-phishing.ru/AZ777.old/ap/sparkasse.portal/script.js
• https://anti-phishing.ru/AZ777.old/bank.postbank.de.php
• https://anti-phishing.ru/AZ777.old/inj_gate.php
• https://banking.*/cgi/_euueberweisung.cgi*
• https://banking.*/cgi/_sepaueberweisung.cgi*
• https://banking.*/cgi/anfang.cgi*
• https://banking.*/cgi/euuebereintrag.cgi*
• https://banking.*/cgi/euueberfrage.cgi*
• https://banking.*/cgi/euueberweisung.cgi*
• https://banking.*/cgi/finanzstatus.cgi*
• https://banking.*/cgi/kontodetails.cgi*
• https://banking.*/cgi/login.cgi*
• https://banking.*/cgi/sepauebereintrag.cgi*
• https://banking.*/cgi/sepaueberfrage.cgi*
• https://banking.*/cgi/sepaueberweisung.cgi*
• https://banking.*/cgi/uebereintrag.cgi*
• https://banking.*/cgi/umsatz.cgi*
• https://banking.*/cgi/umswahl.cgi*
• https://banking.postbank.de/app/finanzstatus.init.do*
• https://banking.postbank.de/app/kontoumsatz.umsatz.*.do*
• https://banking.postbank.de/app/kontoumsatz.umsatz.init.do;jsessionid=
• https://banking.postbank.de/app/legitimation.exec.do;jsessionid=
• https://banking.postbank.de/app/ueberweisung.init.do;jsessionid=
• https://banking.postbank.de/app/ueberweisung.prep.do;jsessionid=
• https://banking.postbank.de/app/verwaltung.status.init.do;jsessionid=
• https://buildcareerjobs.com/https.html
• https://finanzportal.fiducia.de*
• https://login.facebook.com/*
• https://meine.deutsche-bank.de*CreateEUStandardTransfer*
• https://meine.deutsche-bank.de*DisplayFinancialOverview*
• https://meine.deutsche-bank.de*DisplayStatementOfAssets*
• https://meine.deutsche-bank.de*DisplayTransactions*
• https://meine.deutsche-bank.de*StartOverseasRemittance*
• https://meine.deutsche-bank.de*authorization*
• https://meine.deutsche-bank.de*european.transfer.send.authorization*
• https://meine.deutsche-bank.de*itan.authorization.dispatch.do*
• https://meine.deutsche-bank.de/trxm/db/
• https://meine.deutsche-bank.de/trxm/db/?*
• https://meine.deutsche-bank.de/trxm/db/gvo/login/goto.nextStep.login.do?selector=login
• https://my.hypovereinsbank.de/img/ico/logo.gif
• https://my.hypovereinsbank.de/js/portal.js*
• https://my.hypovereinsbank.de/login*
• https://www.dresdner-privat.de/SSA_MLS_JAVASCRIPT/mlsgeneral.js*
• https://www.dresdner-privat.de/servlet/P/SSA*do*
• https://www.google.com/accounts/ig.gif
• https://www.targobank.de/de/*cgi*
• https://www.targobank.de/de/javascript/funcs_global.js*

ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。

なお、このファイルの内容である監視Webサイトのリストは、常時変更されます。

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• ANZ
• Commerzbank
• Deutsche Bank
• Dresdner
• Facebook
• Fiducia
• Microsoft
• Myspace
• Odnoklassniki
• Vkontakte

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}ourt.com/ger/gfhsk.php

その他

解析の結果、マルウェアによるバックドア活動は確認されませんでした。

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• 43d2e731f93da2a0202812db2bff385d

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• b21a50d4c8a338cc0af33ec8b2f54eb4d0c954aa