TSPY_ZBOT.BRN

マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。
マルウェアは、ユーザ名およびパスワードのようなオンラインバンキング情報に関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。
マルウェアは、'Outpost Personal Firewall' および 'ZoneLabs Firewall Client' に関連した以下のプロセスの存在を確認します。

• outpost.exe
• zlclient.exe

マルウェアは、上記の何れかのプロセスの存在を確認すると、プロセスを終了します。これにより、プロセスの実行が中断されます。また、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

侵入方法

マルウェアは、上記プロセスが確認されると、そのプロセスを停止します。これにより、感染コンピュータ上で連続して自身の実行を確実にします。

自動実行方法

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
Userinit=%System%\userinit.exe, %System%\sdra64.exe,

感染ポイント

なお、このファイルの内容である監視Webサイト・リストは常時変更します。

情報漏洩

マルウェアは、以下のフォルダの属性をシステムフォルダおよび隠しフォルダに設定します。これにより、自身のコンポーネントの検出および削除を避けます。

• http://{BLOCKED}.{BLOCKED}.226.206/ryan/cfg.bin

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Ebay

• IS Bank

• Microsoft

• MoneyMail

• Myspace

• OSPM

• Odnoklassniki

• Santander

• Vkontakte

なお、このファイルの内容である監視Webサイト・リストは常時変更します。

マルウェアは、ユーザ名およびパスワードのようなオンラインバンキング情報に関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、Webサイトにアクセスしてファイルをダウンロードします。このファイルは、不正プログラムがアップデートされた自身のコピーをダウンロードする場所に関する情報を含んでいます。

• *.microsoft.com/*

• */atl.osmp.ru/*

• */login.osmp.ru/*

• http://*myspace.com*

• http://*odnoklassniki.ru/*

• http://feedback.ebay.com/ws/eBayISAPI.dll?ViewFeedback&*

• http://vkontakte.ru/*

• https://onlinebanking.norisbank.de/norisbank/login.do?method=login*

• https://www.gruposantander.es/*

• https://www.moneymail.ru/?d

インストール

マルウェアは、感染コンピュータのOSに応じて、以下のように自身のコピーを作成します。

• %System%\lowsec\local.ds - copy of the encrypted downloaded file

• %System%\lowsec\user.ds - used to save the gathered information

マルウェアは、%SYSTEM%フォルダに自身のコピーを作成し、作成したコピーの末尾に判別不可能なコードを追記します。これにより、検出を避けます。作成したコピーには、以下のファイル名が使われます。

• sdra64.exe

マルウェアは、感染コンピュータ上の、アドレスバー情報といったInternet Explorer（IE）の使用状況を監視します。不正プログラムは、ユーザがアドレスバーまたはタイトルバーに以下の文字列を含む銀行サイトにアクセスした場合、偽のログインページが表示されるWebサイトを作成します。

• __SYSTEM__64AD0625__

マルウェアは、以下のプロセスに組み込まれシステムのプロセスに常駐します。

• SVCHOST.EXE

• WINLOGON.EXE

その他

マルウェアは、'Outpost Personal Firewall' および 'ZoneLabs Firewall Client' に関連した以下のプロセスの存在を確認します。

• outpost.exe
• zlclient.exe

マルウェアは、上記の何れかのプロセスの存在を確認すると、プロセスを終了します。これにより、プロセスの実行が中断されます。また、ルートキット機能を備えており、自身に関連したプロセスおよびファイルを隠匿し、ユーザによる検出および削除を避けます。

他のシステム変更

マルウェアは、以下のレジストリキーを追加し、セーフモード状態でも自身が実行されるようにします。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
UID={computer name}_{random numbers}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
EnableFirewall=0

情報収集

収集した情報は、以下のファイルに保存されます。

• %System%\lowsec\user.ds

マルウェアは、HTTP POST を介して収集された情報を以下のURLに送信します。

• http://{BLOCKED}.{BLOCKED}.226.206/ryan/gate.php

ハッシュ値情報

マルウェアは、以下のWebサイトからダウンロードしたファイルとして、コンピュータに侵入します。

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• b3c5bab5ac3b370cb39b397e29ff053850b327a6