TSPY_ZBOT.BXW

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。 スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}.{BLOCKED}.38.104/nsgid86.exe

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

スパイウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• ctfmon.exe
• dwm.exe
• explorer.exe
• rdpclip.exe
• taskeng.exe
• taskhost.exe
• wscntfy.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = {malware path and file name}

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• @*//www.svbconnect.com/security/challengeVerify.do
• @*//ultrabranch.alaskausa.org/efs/servlet/efs/*password*
• @*//ktt.key.com/ktt/cmd/validatePinForm
• @*//ktt.key.com/ktt/cmd/logonFromKeyCom
• @*ingdirect.com*
• http*scripts/injScp.js*
• http://aeheix.ru/script.js
• */my.ebay.com/*CurrentPage=MyeBayPersonalInfo*
• *.ebay.com/*eBayISAPI.dll?*
• https://www.us.hsbc.com/*
• https://online.wellsfargo.com/das/cgi-bin/session.cgi*
• https://www.paypal.com/*/webscr?cmd=_account
• https://www.paypal.com/*/webscr?cmd=_login-done*
• https://www#.usbank.com/internetBanking/LoginRouter
• https://www#.citizensbankonline.com/*/index-wait.jsp
• https://onlinebanking.nationalcity.com/OLB/secure/AccountList.aspx
• https://www.suntrust.com/portal/server.pt*parentname=Login*
• https://www.53.com/servlet/efsonline/index.html*
• https://web.da-us.citibank.com/*BS_Id=MemberHomepage*
• *bankofamerica.com*
• https://online.wamu.com/Servicing/Servicing.aspx?targetPage=AccountSummary
• https://businessonline.tdbank.com/CorporateBankingWeb/Core/Login.aspx*
• https://online.citibank.com/*
• https://webexpress.tdbanknorth.com/wcmfd/wcmpw/CustomerLogin
• https://www.sterlingwires.com/
• https://trading.scottrade.com/home/default.aspx
• https://www.svbconnect.com/security/integratedLoginAuth.do
• https://www.svbconnect.com/useraccess/Login.jsp
• https://www.svbconnect.com/*
• https://chaseonline.chase.com/MyAccounts.aspx
• https://www.securechemicalbankmi.com/onlineserv/CM/
• https://commercial.wachovia.com/Online/Financial/Business/Service*
• https://internetbanking.firsttennessee.biz/*
• https://ibank.scnb.com/inets/Login.cfm
• https://cashman.arvest.com/cashman*Auth.asp
• https://www.sterlingcorporatenetbanking.com/bbw/cmserver/login_validate.cfm*
• https://www.directline4biz.com/bbw/cmserver/login_validate.cfm*
• https://www.directline4biz.com/challenge100.cfm
• https://www.us.hsbc.com/*business.online*
• *userid=*
• https://cm.netteller.com/login*/Authentication/Views/LoginCM.aspx
• https://treas-mgt.frostbank.com/rdp/cgi-bin/*
• https://www.frostbank.com/sitemap/Pages/default.aspx
• https://secure.ingdirect.com/myaccount/INGDirect.html
• https://secure.ingdirect.com/myaccount/InitialINGDirect.html*
• https://www.eastwestbankhb.com/onlineserv/CM/*
• https://usgateway1.rbs.com/usgateway/cb/gpsmoneymanager.jsp
• https://usgateway2.rbs.com/usgateway/cb/gpsmoneymanager.jsp
• http://fbtonline.com/home/
• https://banking.calbanktrust.com/iLogin.jsp
• http://www.ncsecu.org/*
• https://onlineaccess.ncsecu.org/login.aspx
• http://unfcu.org/
• http://www.unfcu.org/
• https://singlepoint.usbank.com/*
• https://onlinetreasurymanager.suntrust.com/ibswebsuntrust/cmserver/welcome/default/verify.cfm
• https://www.whitneybank.web-access.com/whitney/cgi-bin/welcome.cgi
• https://alltimetreasury.pacificcapitalbank.com/TekPortfolio/servlet/TB_UI_Controller*
• https://commerceconnections.commercebank.com/ibank/cmserver/welcome/default/verify.cfm
• https://myib.firstmerchants.com/fi3039a_auth/sbuser/slogon
• https://www.independentcm.com/onlineserv/CM/
• https://www.columbiabankonline.com/onlineserv/CM/index.cgi
• https://www.columbiabankonline.com/onlineserv/CM/
• https://access.jpmorgan.com/appmanager/jpmalogonportal/jpmalogonhome*
• http://www.jpmorganaccess.com/*
• https://www.nationalcity.com/consultnc/
• https://goldleafach.com/ach/Login.aspx*
• https://*.web-cashplus.com/Cashplus/
• https://www.businessonlineaccess.web-cashplus.com/Cashplus/1
• https://secure.fundsxpress.com/piles/fxweb.pile/custom_login?template=login&no_top_url=1&iid=ABMWI
• https://bnycash.bankofny.com/
• https://itreasury.regions.com/phcp/servlet/CustomerLoginServlet
• https://www.easterntreasuryconnect.com/bbw/cmserver/welcome/default/verify.cfm
• https://www.easterntreasuryconnect.com/bbw/cmserver/appserver_login_validate.cfm
• https://www.mybusinessbank.co.uk/cs70_banking/logon/slogon
• https://www.mybusinessbank.co.uk/cs70_banking/logon/slogon
• https://www.mybusinessbank.co.uk/cs70_banking/logon/slogon
• https://www.manufacturers.web-access.com/wa/cgi-bin/welcome.cgi
• https://www.manufacturers.web-access.com/wa/cgi-bin/welcome.cgi
• *injtoken*
• https://www.bankoffortbendonline.com/onlineserv/CM*
• https://bankoffortbendonline.com/onlineserv/CM*
• https://www.ffsbkyonline.com/*
• https://www2.alerusfinancial.com/cashman/default.Aspx
• https://www2.alerusfinancial.com/cashman//Auth.asp
• https://www2.alerusfinancial.com/out.html
• https://cm.firstbankpr.com/cashplus/
• https://treasury.wamu.com/ibswamu/cmserver/welcome/default/verify.cfm
• https://treasury.wamu.com/ibswamu/cmserver/login_validate.cfm*
• https://treasury.wamu.com/bbw/cmserver/include/challenge100.cfm
• https://passport.texascapitalbank.com/BankNow.aspx*
• https://passport.texascapitalbank.com/CustomError.aspx
• https://passport.texascapitalbank.com/Default.aspx
• https://ecash.fsbnm.com/cashman/Default.aspx
• https://ecash.fsbnm.com/cashman//Auth.asp
• https://ecash.fsbnm.com/out.html
• https://cashmanagement.firstambank.com/iBank/cmserver/verify.cfm
• https://cashmanagement.firstambank.com/iBank/cmserver/loginforwardtourl.cfm
• https://www.businesse-cashmanager.web-access.com/natpenn/cgi-bin/welcome.cgi
• https://netconnect.bokf.com/bbw/cmserver/welcome/default/verify.cfm
• https://securentrycorp.calbanktrust.com/Authentication/zbf/k/*
• https://securentrycorp.calbanktrust.com/Authentication/zbf/index?appId=PORTAL&domainId=cbt
• https://securentrycorp.calbanktrust.com/Enrollment/zbf/k/1
• https://*/IBWS/checkUser.do
• https://ktt.key.com/ktt/cmd/logon
• https://cashmgt.firsttennessee.biz/cb/servlet/cb/login.jsp
• https://cashmgt.firsttennessee.biz/WebID/IISWebAgentIF.dll
• https://e-access.compassbank.com/bbw/cmserver/welcome/default/verify.cfm
• https://www.bbvacompass.com/contact/
• https://www.cashanalyzer.com/cgi-bin/carsa#clnt.dll/CA%20-%20Main1/ND000_
• https://www.53.com/wps/portal/cblogin
• https://express.53.com/express/logon.action1
• https://www.nashvillecitizensbank.com/olbb/Login2FA.asp
• https://securentrycorp.zionsbank.com/Authentication/zbf/k/*
• https://securentrycorp.zionsbank.com/Authentication/zbf/index?appId=PORTAL&domainId=zfnb
• https://securentrycorp.zionsbank.com/Enrollment/zbf/k/1
• https://ecash.dacotahbank.com/cashman/default.Aspx
• https://ecash.dacotahbank.com/cashman//Auth.asp
• https://ecash.dacotahbank.com/out.html
• https://securentrycorp.amegybank.com/Authentication/zbf/k/*
• https://securentrycorp.amegybank.com/Authentication/zbf/index?appId=PORTAL&domainId=abt
• https://securentrycorp.amegybank.com/Enrollment/zbf/k/1
• https://securentrycorp.nbarizona.com/Authentication/zbf/k/*
• https://securentrycorp.nbarizona.com/Authentication/zbf/index?appId=PORTAL&domainId=nba
• https://securentrycorp.nbarizona.com/Enrollment/zbf/k/1
• https://www.sterlingwires.com/js/IWPreScript.js_9.0.42*
• https://infoplus.mandtbank.com/cashplus/
• https://www.cbolobank.com/business/login/Login.jsp
• https://www.cbolobank.com/business/j_security_check
• *j_username*
• https://www.cbolobank.com/business/j_security_check
• *j_password*
• http*treasurydirect*tdbank.com*
• http*treasurydirect*tdbank.com*cfm*
• http*treasurydirect*tdbank.com*login_brandScripts.js*
• https*access.wescorp.org*
• https*access.wescorp.org/_Auth*
• http*business-eb.ibanking-services.com/K1/*jsp*
• http*business-eb.ibanking-services.com/K1/*login*jsp*
• http*business-eb.ibanking-services.com*general.js*
• https://pccm.peoples.com/webcm/*
• https://www.businessonline.blilk.com/Core/Authentication/MFA*.aspx
• https://www.businessonline.blilk.com/include/Utils.js
• https://*blilk.com/Core/Authentication/MFA*.aspx
• https://*blilk.com/include/Utils.js
• https://ctreporter.coletaylor.com/bbw/cmserver/welcome/default/verify.cfm
• https://www.ulsterbankanytimebanking.ie/login.aspx*
• https://www.signatureny.web-access.com/signat/cgi-bin/*
• https://www.signatureny.web-access.com/signat/cgi-bin/welcome.cgi
• *injtoken*
• https://*treasury.pncbank.com/*/login.ht
• https://www.pnc.com/webapp/sec/Forms.do?siteArea=/PNC/Feedback+Form
• *ebc_ebc1961*
• *EBC_EBC1961*
• *ebc_ebc1961*
• *EBC_EBC1961*
• *EBC_EBC1961/EBC_NEC/RSAEncrypt.js*
• *ebc_ebc1961/EBC_NEC/RSAEncrypt.js*
• https://cbs.firstcitizens.com/cb/servlet/cb/loginfcbnc.jsp*
• https://cbs.firstcitizens.com/cb/jsp-ns/inc/auth/fp.js*
• https://businessaccess.citibank.citigroup.com/cbusol/signon.do*
• https://businessaccess.citibank.citigroup.com/cbusol/do/htmlserver/js/env.js*
• http*.webcashmgmt.com*Login*
• http*.webcashmanager.com*Login*
• http*/phcp/servlet*Login*
• http*/wcmfd/*Login*
• http*/phcp/econnection/login/js/login.htm*
• http*/wcmfd/js/LoginCSS.js*
• http*treasury.pncbank.com/portal/esec/login.ht*
• http*treasury.pncbank.com/portal/service/js/loginproc.js*
• http*sso.uboc.com/obc/forms/login.fcc*
• http*sso.uboc.com/js/ub-common.js*
• http*bolb.associatedbank.com*
• http*bolb.associatedbank.com/js/jquery.js*
• https://www.53.com/wps/portal/*
• https://www.53.com/wps/portal/cblogin*
• https://direct.53.com/logon53Direct.jsp*
• https://express.53.com/express/logon.action*
• https://express.53.com/express/rsa/RSAScript.js*
• http*ebanking-services.com/*
• http*ebanking-services.com/AUTH/WebResource.axd*
• https://wellsoffice.wellsfargo.com/ceoportal/signon/index.jsp*
• https://chsec.wellsfargo.com/login/login.fcc*
• https://a248.e.akamai.net/6/248/3583/000/wellsoffice.wellsfargo.com/ceoportal/framework/skins/default/js/wria/wria-core-min.js*
• https://businessonline.huntington.com/BOLHome/BusinessOnlineLogin.aspx*
• https://businessonline.huntington.com/common/scripts/common.js*
• https*/pub/html/login.html*
• https://*/cmserver*verify.cfm*
• https://*/cmserver*verify.cfm*
• https://*cmserver/include/ui/uiScripts.js*
• https://*login_ui_includes/login_brandScripts.js*
• https://premierview.membersunited.org/Core/login.aspx*
• https://premierview.membersunited.org/WebResource.axd*
• https://*.web-access.com*welcome.cgi*
• https://*/onlineserv/CM/*
• https://*/onlineserv/CM/std/js/en/disofactor.js*
• https://businessonline.tdbank.com/corporatebankingweb/core/login.aspx*
• https://businessonline.tdbank.com/CorporateBankingWeb/VAM/2_0_2/VAM.js*
• https://authmaster.nationalcity.com/tmgmt/wslogin.jsp*
• https://www.nationalcity.com/consultnc/*
• https://authmaster.nationalcity.com/tmgmt/js/bharosa_uio.js*
• https://www.nationalcity.com/sharedApp/js/isEmpty.js*
• https://*blilk.com/Core/Authentication/MFA*.aspx*
• https://*blilk.com/include/Utils.js*
• https://olb.gnty.com/Login/Username.aspx*
• https://cm.netteller.com/login2008/Authentication/Views/Login.aspx*
• https://cm.netteller.com/login2008/Scripts/NetTellerCorners.js*
• https://securentrycorp.*/Authentication/zbf/k/*
• https://securentrycorp.*/Authentication/lib.js*
• https://ecash.*
• https://*Cashman*
• https://*cashman*
• http*business-eb.ibanking-services.com/K1/*login*jsp*
• http*business-eb.ibanking-services.com*general.js*
• https://access.jpmorgan.com/appmanager/jpmalogonportal/jpmalogonhome*
• https://commercial.wachovia.com/Online/Financial/Business/Service?action=Login*
• https://commercial.wachovia.com/Online/Registration/jsinclude/bidata.js
• http*www.northerntrust.com/*
• http*www3683.ntrs.com*
• http*www.northerntrust.com/incs/scripts.js
• https://www3683.ntrs.com/ptl/ptl/javascript/NavigationMenuScripts.js*
• https://www8.comerica.com/*
• https://www8.comerica.com/images/sdc.js
• https://direct.bankofamerica.com/Core/servlet/BofaDirect.BankofAmericaDirect.BankofAmericaDirectServlet?page=PgLogin*
• https://direct.bankofamerica.com/BofaDirect/javascript/js.util.uiutils.js*
• https://www.us.hsbc.com/1/2/3/business/online/business-internet-banking/log-on*
• https://www.us.hsbc.com/1/themes/html/hbus_common/HSBC-top_section.js*
• https://www.commercial.hsbc.com.hk/1/2/!ut/p/kcxml/*
• https://www.commercial.hsbc.com.hk/1/themes/html/b2gjs/WT_top_section.js*
• https://www.corporatebanking.firsttennessee.com/cb/servlet/cb/jsp-ns/login.jsp*
• https://internetbanking.firsttennessee.biz/webcm/customer1.asp*
• https://cashmgt.firsttennessee.biz/cb/servlet/cb/login.jsp*
• https://treas-mgt.frostbank.com/rdp/cgi-bin/welcome.cgi*
• https://singlepoint.usbank.com/cs70_banking/logon/sbuser*
• https://singlepoint.usbank.com/cs70_banking/user/script/login.js*

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.0.152/file_nsg.bin
• http://{BLOCKED}.{BLOCKED}.0.197/nsg_bad.bin
• http://{BLOCKED}lebigban.org/ns20g10.bin
• http://{BLOCKED}moorebad.com/666nsg.bin
• http://{BLOCKED}ottwhite.net/ns001g.bin

ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Arvest
• Bank of America
• Bank of FortBend
• CCM
• California Bank & Trust
• Chase
• Chemical Bank
• Citibank
• Citizens
• Citizens Bank
• Columbia Bank Online
• Comerica
• Commerce Bank
• Compass Bank
• East West Bank
• Ebay
• Fifth Third
• First American Bank
• First Bank and Trust
• First Citizens Bank
• First Tennessee
• Frost Bank
• HSBC
• ING Direct
• JP Morgan
• Key Total Treasury
• M&T Bank
• Money Manager
• National City
• NetTeller
• PNC
• Pacific Capital Bank
• PayPal
• Scottrade
• Silicon Valley Bank
• State Employees' Credit Union
• Suffolk County National Bank
• Suntrust
• Synovus
• TD Bank
• US Bank
• Union Bank of California
• United Nations Federal Credit Union
• Wachovia
• Washington Mutual
• Wells Fargo
• iTreasury

情報の送信先

収集された情報は、以下のWebサイトにアップロードされます。

• http://{BLOCKED}.{BLOCKED}.38.102/nsgvensteph.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 9b64bb3122d9eea2595a1b5eb7de0e19

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 8552d6a822683a0b858a5506119a647b5c434738