TSPY_BANKER.YZV

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

スパイウェアは、感染コンピュータから特定の情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• TROJ_BANLOAD.YZV

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}.{BLOCKED}.44.136/Telefones.&.Celulares/Smartphones/iPhone-5S-Apple&16GB&com&Tela-4-iOS-7-Touch&ID&Camera-8MP&Wi-Fi&3G-4G-GPS-MP3&e&Bluetooth-Dourado.aspx=36/chamana18.asp

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\Local Settings\Application Data\HuAnYcA.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

スパイウェアは、以下の無害なファイルを作成します。

• %User Profile%\Local Settings\Application Data\HuAnYcA.txt
• %User Profile%\Local Settings\Application Data\windataup.inf - date of execution was stored

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
HuAnYcA = "%User Profile%\Local Settings\Application Data\HuAnYcA.exe"

情報漏えい

スパイウェアは、感染コンピュータから以下の情報を収集します。

• Username
• Password

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.{BLOCKED}rhost.com.br/chamana/amigos/index.php?id=1

その他

スパイウェアが作成する無害なファイルは以下のとおりです。

• %User Profile%\Local Settings\Application Data\HuAnYcA.txt
• %User Profile%\Local Settings\Application Data\windataup.inf - 実行した日付が保存される。

スパイウェアが感染コンピュータから収集する情報は以下のとおりです。

• ユーザ名
• パスワード