TSPY_BANKER.NJH

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %User Temp%\google_chrome

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Temp%\Google Chome.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER
Google Chome = "%User Temp%\Google Chome.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path}\{malware filename}.exe = "{malware path}\{malware filename}.exe:*:Enabled:google_chrome"

プロセスの終了

スパイウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• GbpSV.exe

情報漏えい

スパイウェアは、以下のWebサイトを対象とします。

• Banco de Brasil
• Caixa
• HSBC Brasil
• Facebook
• PayPal
• Pagseguro
• Outlook

スパイウェアは、以下の情報を収集します。

• Username
• Password
• Name
• Data
• CPF
• Holder
• Agency
• Account

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://www.{BLOCKED}e.com.br/cartel/banca.php
• http://www.{BLOCKED}e.com.br/cartel/reg/{page}.php?value={value}