TrojanSpy.Win32.BANKER.AK

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %System Root%\execute.bat - renames a file/folder located in %Program Files% named "Trusteer" to "Trusterc". Also deletes SMP.ON.
• {Malware File path}\{Malware Filename}.UP -> contains information gathered

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。Windows 2000、Server 2003、XP（32-bit）,Vista（32-bit）、7（32-bit）、8（32-bit）の場合、通常 "C:\Program Files"です。また、Windows XP（64-bit）、Vista（64-bit）、7（64-bit）、8（64-bit）の場合、通常 "C:\Program Files（x86）" です。)

自動実行方法

スパイウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\{malware filename}.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows XPの場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

情報漏えい

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Banco do Brasil
• Banco do Nordeste
• Banco Bradesco
• Caixa Econômica Federal
• Citibank
• Banco Daycoval
• Itaú Unibanco
• Banco Santander
• Banco Sicredi
• Banco Sicoob
• Banestes Banco Estado
• Banco Mercantil Do Brasil
• Banco Rendimento
• Xapo
• Poloniex
• BitcoinTrade
• Mercado Bitcoin
• FOXBIT
• TUDO SOBRE BITCOIN

その他

マルウェアは、自身がデバッグされていることを確認した場合、不正活動を実行しません。

＜補足＞
インストール

スパイウェアは、以下のファイルを作成します。

• %System Root%\execute.bat - ％Program Files％にある"Trusteer"というファイルまたはフォルダの名前を "Trusterc"に変更します。 また、SMP.ONを削除します。
• {スパイウェアのファイルパス}\{スパイウェアのファイル名}.UP -> 収集した情報が含まれる

自動実行方法

スパイウェアは、Windows起動時に自動実行されるよう＜User Startup＞フォルダ内に以下のファイルを作成します。

• %User Startup%\{スパイウェアのファイル名}.lnk

スパイウェアは、以下のスケジュールされたタスクを追加します。

• ENERGON
  • システム起動時に実行する
  • 以下のファイルを実行する
    • %System Root%\execute.bat

（注：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。）