TSPY_ZBOT.BVO

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

感染ポイント

スパイウェアは、以下のWebサイトからダウンロードされたファイルとして、コンピュータに侵入します。

• http://{BLOCKED}soue.com/ptz/ptg.exe

インストール

スパイウェアは、感染コンピュータのOSに応じて以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe
• %Application Data%\{random2}\{random}.{random}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{7AD3B008-9C16-0B0B-AF21-FEF5CF0EA89B} = %Application Data%\{random1}\{random}.exe

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}
@ =  

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• *.microsoft.com/*
• *banking.co.at*
• *ebanking.bawag.com*
• *fiducia.de*
• *https://caixadirecta.cgd.pt/CaixaDirecta/profile.do*
• *ksk-*.de*
• *kskgrossgerau.de*
• *ksklb.de*
• *kskms.de*
• *kskrhein-hunsrueck.de*
• *kskwd.de*
• *ksn-northeim.de*
• *lzo.com*
• *naspa.de*
• *nospa.de*
• *sls-direkt.de*
• *sparkasse*.de*
• *spk-*.de*
• *sskm.de*
• *vspk-*.de*
• http://*myspace.com*
• http://*odnoklassniki.ru/*
• http://groups.google.com/group/jquery-en/browse_thread/thread/36640a8730503595/2f6a79a77a78e493#2f6a79a77a78e493
• http://vkontakte.ru/*
• http://www.google.com/search?q=growl)
• https://ajax.googleapis.com/ajax/libs/jquery/1.4.2/jquery.min.js
• https://caixadirecta.cgd.pt/CaixaDirecta/web/images/logo_caixadirecta.gif
• https://login.facebook.com/*
• https://static.e-junkie.com/sslpic/33525.c164530c3a6759461ec11c536482995c.gif
• https://static.e-junkie.com/sslpic/33526.7e2f065bb66e79dd529fcbc1795ab33a.gif
• https://trustsealinfo.verisign.com/images/vseal.gif

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}oolg.com/ptz/ger.ma
• http://{BLOCKED}asup.com/ptz/ger.ma
• http://{BLOCKED}rud.com/ptz/ger.ma

なお、このファイルの内容である監視Webサイトのリストは、常時変更されます。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Facebook
• Fiducia
• Fifth Third
• Microsoft
• Myspace
• Odnoklassniki
• Vkontakte

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}rborj.com/prt/jkkoz.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 591e32cea2560d35485eb40d51c9bb95

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 43cb5971bae39b92125ed19fd664cdc80811b4a0