TSPY_BANKER.WQL

スパイウェアは、感染コンピュータから特定の情報を収集します。

侵入方法

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}9.117/printf/rw3.html

インストール

スパイウェアは、以下の無害なファイルを作成します。

• %All User Profile%\{two letter}

スパイウェアは、以下のプロセスを追加します。

• %Program Files%\Internet Explorer\iexplore.exe

(註：%Program Files%フォルダは、Windows 2000、Server 2003、XP (32ビット)、通常 Vista (32ビット) および 7 (32ビット) の場合、通常 "C:\Program Files"、Windows XP (64ビット)、Vista (64ビット) および 7 (64ビット) の場合、通常 "C:\Program Files (x86)" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• iexplore.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
winxp = "regsvr32 /s "%User Profile%\All Users\WINXP.jpg""

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}1.net/prs/qs.html
• http://{BLOCKED}p.net/prs/es.html
• http://{BLOCKED}p.net/prs/kp.html
• http://{BLOCKED}x02.net/prs/es.html

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• bancobrasil
• bb.com.br
• caixa economica federal
• http://www.bb.com.br
• http://www.cef.com.br
• http://www.itau.com.br
• http://www.santanderempresarial.com.br
• http://www.tam.com.br
• http://www.voegol.com.br
• inteligentes
• linhas
• santander
• santandernetibe

スパイウェアは、感染コンピュータから以下の情報を収集します。

• Username
• Password

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}28.142/listas/lg/cards/po.php