TSPY_ZBANKER.A

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、2012年11月に韓国の特定の銀行を狙った攻撃に関連しています。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、Browser Helper Object（BHO）として登録し、ユーザのインターネットの閲覧状況を監視します。

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Program Files%\IEHelper\IeHelper.dll - also detected as TSPY_ZBANKER.A
• %User Profile%\IEHelper\visited.dat - log of visited target banking sites

(註：%Program Files%は、標準設定では "C:\Program Files" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\UpDate.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

スパイウェアのDLLコンポーネントは、以下のプロセスに組み込まれます。

• explorer.exe

スパイウェアは、以下のフォルダを作成します。

• %Program Files%\IEHelper
• %User Profile%\IEHelper

(註：%Program Files%は、標準設定では "C:\Program Files" です。. %User Profile% フォルダは、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞"、Windows NTでは、"C:\WINNT\Profiles\＜ユーザ名＞"、Windows 2000, XP, Server 2003の場合は、"C:\Documents and Settings\＜ユーザ名＞" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
IEHelpRun = "%System%\UpDate.exe"

スパイウェアは、以下のレジストリキーを追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとスパイウェアが自動実行されます。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{BBC9FDC7-26C6-4BED-B907-68BD01C058E2}

スパイウェアは、BHOとして登録し、ユーザのインターネットの閲覧状況を監視します。

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CLASSES_ROOT\CLSID\{BBC9FDC7-26C6-4BED-B907-68BD01C058E2}

HKEY_CLASSES_ROOT\Interface\{5D120EBF-7215-4665-BEBF-0FED811643AA}

HKEY_CLASSES_ROOT\TTIEBHO.IEHelper.1

HKEY_CLASSES_ROOT\TTIEBHO.TrackIE

HKEY_CLASSES_ROOT\TypeLib\{C8915F1F-B84E-4AA0-9648-E2CC8E4A194C}

情報漏えい

スパイウェアは、以下の情報を収集します。

• MAC address
• Internet explorer version
• Operating system version

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}o.{BLOCKED}0.my5m.com/tongji/123321/count.asp?mac={MAC address}&iever={IE version}&os={OS version}

スパイウェアが作成するファイルは以下のとおりです。

• %Program Files%\IEHelper\IeHelper.dll - このスパイウェアとして検出
• %User Profile%\IEHelper\visited.dat - 対象とする銀行の訪問済みのWebサイトのログ

スパイウェアが収集する情報は以下のとおりです。

• MACアドレス
• Internet Explorerのバージョン
• オペレーティングシステム（OS）のバージョン

スパイウェアは、最初に以下のURLにアクセスし、狙う銀行のWebサイトを取得します。

• http://www.＜省略＞l.＜省略＞o.kr/files/consult_common/etc/j.txt

スパイウェアは、ユーザが、以下の銀行のWebサイトのURLの中のひとつにアクセスしているかを監視します。

• https://obank1.kbstar.com/quics?page=C027221&weblog=introLogin
• https://obank.kbstar.com/quics?page=C027221&weblog=introLogin
• https://omoney.kbstar.com/quics?page=C018897
• https://obank1.kbstar.com/quics?page=C019935
• https://obiz.kbstar.com/quics?page=C015661
• http://pib.wooribank.com/pib/cus/wpcus900_01t.jsp

ユーザがこれらのURLのひとつにアクセスしている場合、銀行の公式のWebサイトを装った以下のフィッシングサイトに誘導し、ユーザ名やパスワード、カードコードといったユーザの銀行情報を取得します。

• ＜省略＞k.＜省略＞star.com
• ＜省略＞b.＜省略＞obank.com

スパイウェアは、どの銀行のWebサイトを訪問済みかを以下に保存します。

• %User Profile%\IEHelper\visited.dat

また、スパイウェアは、スクリーンショットを取得する機能を備えています。