TSPY_BANKER.JNS

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{random filename}.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SusClientId = {random filename}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\WindowsUpdate\
ServiceBeholder

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
RunInvalidSignatures = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = 1

スパイウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
CheckExeSignatures = no

(註：変更前の上記レジストリ値は、「yes」となります。)

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• Bradesco Net Empresa
• HSBC Bank Brasil S.A. - Banco Multiplo - No Brasil e no Mundo, HSBC. - Microsoft Internet Explorer
• https://bradesconetempresa.com.br/scripts/office.dll/CERTIFIC/CERTIFICADO?INI
• https://internetbanking.caixa.gov.br/SIIBC/index.processa
• https://wwwss.bradesco.com.br/scripts/ib2k1.dll/TAC/VRFSENHAATUAL
• www.uol.com.br

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Bradesco
• Caixa
• HSBC
• UOL

情報の送信先

スパイウェアは、収集した情報を以下のＥメールアドレスに送信します。

• enviaencome das1@bol.com.br
• enviaencomenda7@bol.com.br
• enviaencomendas7@bol.com.br
• grananomeubolso002@gmail.com

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 2bc7f120a7777c5b4a57d89cc3fc64cc

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• c463d685265b52065d37d3f2ed46f4f5d68785eb