TROJ_ZBOT.SGQ

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}ibrosmihael.com/xman/spm1.exe

インストール

マルウェアは、以下のフォルダを追加します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• rdpclip.exe
• ctfmon.exe
• wscntfy.exe
• taskeng.exe
• taskhost.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{4F7B03F1-D465-7A2F-E893-EA6755CBAD8A} = %Application Data%\{random1}\{random}.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.{random extension}
• %Application Data%\{random2}\{random}.{random extension}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}ibrosmihael.com/xman/spm1.bin

情報漏えい

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このマルウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• *.americanexpress.com/myca/acctsumm/us/*
• *.microsoft.com/*
• */atl.osmp.ru/*
• */login.osmp.ru/*
• http*.53.com*
• http*.53.com*RSAScript.js*
• http*.webcashmanager.com*Login*
• http*.webcashmgmt.com*Login*
• http*/phcp/econnection/login/js/login.htm*
• http*/phcp/servlet*Login*
• http*/wcmfd/*Login*
• http*/wcmfd/js/LoginCSS.js*
• http*bolb.associatedbank.com*
• http*bolb.associatedbank.com/js/jquery.js*
• http*business-eb.ibanking-services.com*general.js*
• http*business-eb.ibanking-services.com/K1/*login*jsp*
• http*ebanking-services.com/*
• http*ebanking-services.com/AUTH/WebResource.axd*
• http*sso.uboc.com/js/ub-common.js*
• http*sso.uboc.com/obc/forms/login.fcc*
• http*treasury.pncbank.com/portal/esec/login.ht*
• http*treasury.pncbank.com/portal/service/js/loginproc.js*
• http*www.northerntrust.com/*
• http*www.northerntrust.com/incs/scripts.js
• http*www3683.ntrs.com*
• http://*myspace.com*
• http://*odnoklassniki.ru/*
• http://vkontakte.ru/*
• http://www.hsbccreditcard.com/ecare/images/logo_en_US_HS.gif
• http://www.macys.com/img/nav/co_macysLogo2.gif
• http://www.midwestrustic.com/Products/images/Web%20Links/American%20Express.jpg
• http://www.stlrcga.org/images/CommerceBank_logo.gif
• http://www.wachovia.com/files/pres/images/logo.gif
• http://www.wellsfargo.com/img/global/btn_blueslice.gif
• http://www.wellsfargo.com/img/header/logo_62sq.gif
• https*/pub/html/login.html*
• https://*.web-access.com*welcome.cgi*
• https://*/cmserver*verify.cfm*
• https://*/onlineserv/CM/*
• https://*/onlineserv/CM/std/js/en/disofactor.js*
• https://*Cashman*
• https://*blilk.com/Core/Authentication/MFA*.aspx*
• https://*blilk.com/include/Utils.js*
• https://*cashman*
• https://*cmserver/include/ui/uiScripts.js*
• https://*login_ui_includes/login_brandScripts.js*
• https://a248.e.akamai.net/6/248/3583/000/wellsoffice.wellsfargo.com/ceoportal/framework/skins/default/js/wria/wria-core-min.js*
• https://access.jpmorgan.com/appmanager/jpmalogonportal/jpmalogonhome*
• https://authmaster.nationalcity.com/tmgmt/js/bharosa_uio.js*
• https://authmaster.nationalcity.com/tmgmt/wslogin.jsp*
• https://banking.commercebank.com/CBI/Accounts/CBI/Summary.aspx
• https://businessaccess.citibank.citigroup.com/cbusol/do/htmlserver/js/env.js*
• https://businessaccess.citibank.citigroup.com/cbusol/signon.do*
• https://businessonline.huntington.com/BOLHome/BusinessOnlineLogin.aspx*
• https://businessonline.huntington.com/common/scripts/common.js*
• https://businessonline.tdbank.com/CorporateBankingWeb/VAM/2_0_2/VAM.js*
• https://businessonline.tdbank.com/corporatebankingweb/core/login.aspx*
• https://cashmgt.firsttennessee.biz/cb/servlet/cb/login.jsp*
• https://cbs.firstcitizens.com/cb/jsp-ns/inc/auth/fp.js*
• https://cbs.firstcitizens.com/cb/servlet/cb/loginfcbnc.jsp*
• https://chaseonline.chase.com/MyAccounts.aspx
• https://chsec.wellsfargo.com/login/login.fcc*
• https://cm.netteller.com/login2008/Authentication/Views/Login.aspx*
• https://cm.netteller.com/login2008/Scripts/NetTellerCorners.js*
• https://commercial.wachovia.com/Online/Financial/Business/Service?action=Login*
• https://commercial.wachovia.com/Online/Registration/jsinclude/bidata.js
• https://direct.bankofamerica.com/BofaDirect/javascript/js.util.uiutils.js*
• https://direct.bankofamerica.com/Core/servlet/BofaDirect.BankofAmericaDirect.BankofAmericaDirectServlet?page=PgLogin*
• https://ecash.*
• https://internetbanking.firsttennessee.biz/webcm/customer1.asp*
• https://olb.gnty.com/Login/Username.aspx*
• https://online.citibank.com/US/*/portal/Home.do
• https://online.citibank.com/US/JPS/portal/Home.do
• https://online.wellsfargo.com/das/cgi-bin/session.cgi*
• https://onlinebanking#.wachovia.com/myAccounts.aspx*
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/CustomerServiceMenuEntryPoint?custAction=75
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
• https://premierview.membersunited.org/Core/login.aspx*
• https://premierview.membersunited.org/WebResource.axd*
• https://securentrycorp.*/Authentication/lib.js*
• https://securentrycorp.*/Authentication/zbf/k/*
• https://singlepoint.usbank.com/cs70_banking/logon/sbuser*
• https://singlepoint.usbank.com/cs70_banking/user/script/login.js*
• https://sitekey.bankofamerica.com/sas/maint.do
• https://sitekey.bankofamerica.com/sas/sas-docs/js/commonscript.js
• https://treas-mgt.frostbank.com/rdp/cgi-bin/welcome.cgi*
• https://wellsoffice.wellsfargo.com/ceoportal/signon/index.jsp
• https://wellsoffice.wellsfargo.com/ceoportal/signon/index.jsp*
• https://www#.usbank.com/internetBanking/RequestRouter
• https://www.americanexpress.com/home/images/hpbkgrd_login.jpg
• https://www.bankofamerica.com//www/global/mvc_objects/images/mhd_reg_logo.gif
• https://www.cajalaboral.com/FirmaElectronica/img/00_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/01_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/02_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/03_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/04_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/05_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/06_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/07_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/08_off.gif
• https://www.cajalaboral.com/FirmaElectronica/img/09_off.gif
• https://www.chase.com/online/Home/images/chaseNewlogo.gif
• https://www.commercebank.com/images/buttons/loginButton.jpg
• https://www.commercebank.com/images/common/bg-leftnav.jpg) left top repeat-x scroll;}
• https://www.commercial.hsbc.com.hk/1/2/!ut/p/kcxml/*
• https://www.commercial.hsbc.com.hk/1/themes/html/b2gjs/WT_top_section.js*
• https://www.corporatebanking.firsttennessee.com/cb/servlet/cb/jsp-ns/login.jsp*
• https://www.gruposantander.es/*
• https://www.hsbc.co.uk/1/2/!ut*
• https://www.hsbccreditcard.com/ecare/viewaccount*
• https://www.ibsnetaccess.com/NASApp/NetAccess/*
• https://www.macys.com/css/yui/build/fonts/fonts.css
• https://www.macys.com/css/yui/build/reset/reset.css
• https://www.macys.com/signin/index.ognc
• https://www.nationalcity.com/consultnc/*
• https://www.nationalcity.com/sharedApp/js/isEmpty.js*
• https://www.paypal.com/##/cgi-bin/webscr*
• https://www.paypal.com/##/cgi-bin/webscr?cmd=_flow&SESSION=*
• https://www.paypal.com/##/cgi-bin/webscr?cmd=_login-done*
• https://www.paypal.com/##/cgi-bin/webscr?cmd=_profile-credit-card-new-clickthru
• https://www.suntrust.com/portal/server.pt?mode=*
• https://www.us.hsbc.com/1/2/3/business/online/business-internet-banking/log-on*
• https://www.us.hsbc.com/1/themes/html/hbus_common/HSBC-top_section.js*
• https://www.usbank.com/en/images/global/logo-usbank-siteheader.png
• https://www3683.ntrs.com/ptl/ptl/javascript/NavigationMenuScripts.js*
• https://www8.comerica.com/*
• https://www8.comerica.com/images/sdc.js

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• American Express
• Associated Bank
• Bank of America
• Caja Laboral
• Chase
• Citibank
• Comerica
• Commerce Bank
• Fifth Third
• First Citizens Bank
• First Tennessee
• Frost Bank
• HSBC
• Huntington Business Online
• JP Morgan
• Macy's
• Microsoft
• Midwest Rustic
• Myspace
• National City
• NetTeller
• Northern Trust
• OSPM
• Odnoklassniki
• PNC
• PayPal
• Premier View
• Santander
• St. Louis Regional Chamber and Growth Association
• Suntrust
• TD Bank
• US Bank
• Union Bank of California
• Vkontakte
• Wachovia
• Wells Fargo

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}ibrosmihael.com/xman/gogo.php

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• f9891fefd88d69f4398dc44619202bf2

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• e9e44deccab366e102fd7d3b72c8d3f46a45e86c