TSPY_ZBOT.BSN

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

###############################################################################################################################################################################################################################################################

侵入方法

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}zbilnyak.cn/ittit/it.exe

インストール

スパイウェアは、以下のフォルダを追加します。

• %System%\lowsec

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\sdra64.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• __SYSTEM__64AD0625__

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• SVCHOST.EXE
• WINLOGON.EXE

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, %System%\sdra64.exe,

(註：変更前の上記レジストリ値は、「%System%\userinit.exe, 」となります。)

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Network
UID = {Computer name}_{Random numbers}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0

作成活動

スパイウェアは、以下のファイルを作成します。

• %System%\lowsec\local.ds
• %System%\lowsec\user.ds

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}zbilnyak.cn/ittit/doc.bin

情報漏えい

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}zbilnyak.cn/ittit/doc.bin

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• *.facebook.com/*
• *.mcafee.com/*
• *.microsoft.com/*
• *allianzbank.it/s*
• *click.alfabank.ru*
• *csebanking.it*
• *csebo.it*
• *ib.cim-italia.it*
• *ib.fineco.it/FinecoWeb/HomeBanking*
• *servizi.cim-italia.it*
• http*://*.cedacri.it*
• http*://*allianzbank.it*
• http*://*bancaeuro.it/OneToOne/ebank/functions/login/loginChecker.jsp*
• http*://*bancaeuro.it/OneToOne/ebank/functions/n_be/accesso_be.jsp*
• http*://*bancaeuro.it/OneToOne/ebank/functions/n_be/home_be.jsp*
• http*://*bancagenerali.it*
• http*://*bancaincasa.sba.bcc.it*footer_ita.html*
• http*://*bancaincasa.sba.bcc.it*index_ita.html*
• http*://*bancaincasa.sba.bcc.it/htdocs/homemain_ita.html*
• http*://*bancamediolanum.it*
• http*://*bancopostaimpresaonline.poste.it*
• http*://*cariprato.it*
• http*://*credem.it*
• http*://*credem.it/OneToOne/ebank/functions*
• http*://*creval.it*
• http*://*csebanking.it/LogonEntry?abi=*
• http*://*csebanking.it/ibportal/*
• http*://*csebanking.it/ibportal/home-LOGIN_CLIENTE.do*
• http*://*fideuramonline.it*
• http*://*gbw*.it*
• http*://*ibbweb.tecmarket.it*
• http*://*in-biz.it*
• http*://*internetbanking.friuladria.it/sm/login/FA/loginFA.jsp*
• http*://*isideonline.it*
• http*://*linksimprese.sanpaoloimi.com/pmiweb/LoginServlet*
• http*://*privati.internetbanking.cariparma.it*
• http*://*quiubibusiness.ssb.net*
• http*://*rasbank.it*
• http*://*sella.it*
• http*://*sellasud-bag.it*
• http*://*servizi.allianzbank.it*
• http*://*unipolbanca.it/Frame/MenuPrivati.htm*
• http*://*wbank.sibtonline.net*
• http*://*wbank2.fmbcc.bcc.it*
• http*://*web.secservizi.it/CommonApps/shared/bcp/privati/Identificazione.htm*
• http*://*web.secservizi.it/jsp/secservizi.sec*
• http*://*webanking.it*
• http*://*webanking.it/htdocs/*_websitelogin_nocert.html*
• http://alfabank.ru/retail/alfa_cheque/
• http://allianzbank.it/rasbankit/js/login.js
• http://virtuozbilnyak.cn/adma/nwe.php*notredirect=*O
• http://www.business.hsbc.co.uk/1/2/bib/personal
• https://*.cedacri.it/*
• https://*creval.it/login2007/loginSiciliano.asp*
• https://*gruppocarige.it/*/jsp/login.jsp*
• https://*iwbank.it/private/index_pub.jhtml?ID_NODE=login*
• https://*sanpaoloimi.com/*
• https://*tecmarket.it/tmibbwebsecurity/*/otherauth/defaultPP.aspx
• https://bancaincasa.sba.bcc.it/*
• https://bancopostaonline.poste.it/*
• https://bancopostaonline.poste.it/*
• https://banking.*.de/cgi/ueberweisung.cgi/*
• https://banklinknet2.cariparma.it/*
• https://banklinknet2.cariparma.it/NET2/Log*
• https://corporate.bancatoscana.it/*
• https://corporate.friuladria.it/*
• https://corporate.friuladria.it/NET2/Log*
• https://ebanking.clarisbanca.it/JMCPortale/WebBrowsers/Layout/*
• https://ebanking.clarisbanca.it/jsp/clarisbanca.sec*
• https://hb.quiubi.it/newSSO/x11logon.htm
• https://homebanking.cariparma.it/*
• https://homebanking.cariparma.it/HBPR/Login
• https://homebanking.cariparma.it/HBPR/hbdoc/LoginApplicazione.jsp
• https://homebanking.cariparma.it/HBPR/images/ElencoPrimoAccesso1.JPG
• https://internetbanking.gad.de/banking/*
• https://pb.friuladria.it/BPFA/Home
• https://pb.friuladria.it/BPFA/Login
• https://privati.internetbanking.bancaintesa.it/sm/login/IN/box_login.jsp
• https://scrigno.popso.it/*
• https://servizi.allianzbank.it/*
• https://web.secservizi.it/siteminderagent/forms/login.fcc
• https://www.bancamediolanum.it/*
• https://www.business.hsbc.co.uk/1/2/bibi/Login
• https://www.citibank.de/*/jba/mp#/SubmitRecap.do
• https://www.credem.it/OneToOne/ebank/functions/home/*
• https://www.credem.it/OneToOne/ebank/functions/login/loginChecker.jsp*
• https://www.csebanking.it/ibportal/home-LOGIN_CLIENTE.do*
• https://www.gbw3.it*
• https://www.gruppocarige.it/vbank/servlet/*
• https://www.isideonline.it/*
• https://www.isideonline.it/relaxbankingwas/sso*Dispatcher*
• https://www.poste.it/online/personale/login*
• https://www.sella.it/AuthenticationDelegatedServlet

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Alfabank
• Allianz Bank
• Banca Euromobiliare
• Banca Generali
• Banca Intesa
• Banca Mediolanum
• Banca Toscana
• Banca in Casa
• CSE
• Cariparma
• Cariprato
• Cedacri
• Cim Italia
• Citibank
• Clarisbanca
• Credem
• Creval
• Facebook
• Fideuram
• Fineco
• Friuladria
• GAD
• Gruppo Carige
• HSBC
• IW Bank
• Iside
• McAfee
• Microsoft
• PosteItaliane
• Qui UBI
• SEB
• Sanpaoloimi
• Scrigno
• Secservizi
• Unipol Banca

情報収集

収集した情報は、以下のファイルに保存されます。

• %System%\lowsec\user.ds

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}zbilnyak.cn/ittit/tutuliti.php

その他

###############################################################################################################################################################################################################################################################

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 9923e2c8b4615e34a551c493105f2b6b

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 97d8a8d1e971dcbcbe8fabe7bce4cff51633a38c