TSPY_BANKER.LUP

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Winnet2 = {malware path and filename}

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Description\
Microsoft\Rpc\Uuid\
TemporaryData
NetworkAddress = {hexadecimal value}

HKEY_LOCAL_MACHINE\SOFTWARE\Description\
Microsoft\Rpc\Uuid\
TemporaryData
NetworkAddressLocal = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
MSSQLServer\Client\SuperSocketNetLib\
LastConnect
sqlserver01.espacopublicidade.tecnologia.ws = -687210486:tcp:sqlserver01.espacopublicidade.tecnologia.ws,1433

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• Acesso ao Net Banking Nossa Caixa
• Bradesco
• Nossa Chave de Seguranca

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Bradesco
• Nossa Caixa

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.{BLOCKED}k.sitebr.net/{BLOCKED}os/tabela.php

マルウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}ahora2@gmail.com

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• 332f937b530d5d332fc4bdaa18ded55e

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• 0e73475ec3a87b7495e07f85e5715e38e730e18b