TSPY_ZBOT.BYM

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 ユーザが監視サイトのいずれかにアクセスすると、スパイウェアは、キー入力操作情報を収集します。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

感染ポイント

スパイウェアは、以下のWebサイトからダウンロードされたファイルとして、コンピュータに侵入します。

• http://caramelloinze.net/chan/aol.exe

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random folder name 1}\{random file name}.exe
• %Application Data%\{random folder name 2}\{random file name}.{random file extension}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random folder name 1}
• %Application Data%\{random folder name 2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{8430DABA-2BA3-F7EA-7025-A1D62FE04E36} = %Application Data%\{random folder name 1}\{random file name}.exe

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• *.53.com/servlet/efsonline/index.html*
• *.bankofamerica.com/*
• *.bbvanetoffice.com/*/login_bbvanetoffice.html
• *.citizensbankonline.com/*/index-wait.jsp
• *.microsoft.com/*
• *.nationet.com/MyAccounts/*
• *.navyfcu.org/*AccountSummary*
• *.usbank.com/internetBanking/RequestRouter*
• *.wachovia.com/myAccounts*
• */atl.osmp.ru/*
• */banking*.anz.com/*
• */easyweb*.tdcanadatrust.com/*FinancialSummaryServlet*
• */inet-banking.arvest.com/*
• */login.osmp.ru/*
• */olb2.nationet.com/signon/signon*
• */online.wamu.com/*Page=AccountSummary
• */onlinebanking.nationalcity.com/*/AccountList*
• */resources.chase.com/MyAccounts.aspx
• */www.e-gold.com/acct/li.asp
• */www.netteller*WCI=balances*
• */www.nwolb.com/Login.asp*
• *alertpay.com/AccountOverview*
• *alertpay.com/Login*
• *bankofamerica.com/cgi-bin*
• *bbvanetcash.com*
• *bwin.com*Default.asp*
• *c-gold.com/account/login.php*
• *citibank.com*
• *e-gold.com/acct/balance.asp*
• *fcu.org/*
• *isbank.com.tr/Internet/ControlLoader.aspx*
• *netteller.com*Login.aspx
• *online.citibank.com/US/JPS/portal/Index.do
• *online.citibank.com/US/JSO/signon/*
• *online.citibank.com/signin/UnameSignonCookie.do
• *paypal.com/*/webscr?cmd=_account
• *paypal.com/*/webscr?cmd=_login-done*
• *rbsdigital.com/Login.asp*
• *skype.com*
• *suntrust.com/portal/server.pt*parentname=Login*
• *us.hsbc.com/*
• *wellsfargo.com/*
• http://*google.*/search?hl=*
• http://*myspace.com*
• http://*odnoklassniki.ru/*
• http://lakewoodtrade.com/?partner=glinka
• http://vkontakte.ru/*
• https://*.alaskausa.org/*
• https://*.scottrade.com/*
• https://*chase.com/MyAccounts.aspx
• https://*dcu.com*
• https://*sanpaoloimi.com/*
• https://*usbank.com/internetBanking/LoginRouter
• https://ajax.googleapis.com/ajax/libs/jquery/1.3.2/jquery.min.js
• https://ajax.googleapis.com/ajax/libs/jqueryui/1.7.2/jquery-ui.min.js
• https://ajax.googleapis.com/ajax/libs/jqueryui/1.7.2/themes/south-street/ui.all.css
• https://allied.direct.abl.com.pk/*
• https://banking.chevychasebank.com/cgi-bin/Banking/*/signin/*ogin*
• https://cardsonline-consumer.com/RBSG_Consumer/VerifyLogin.do
• https://chaseonline.chase.com/*ogon.aspx*
• https://chaseonline.chase.com/images/logon.gif
• https://chaseonline.chase.com/images/spacer.gif
• https://fbmedirect.com/FLEXCUBEAT/LiveConnect.dll
• https://netteller*.pncs.com.au/806015V451/ntv45.asp?*=entry
• https://online.wamu.com/Servicing/Servicing.aspx?targetPage=AccountSummary
• https://online.wellsfargo.com/das/cgi-bin/session.cgi*
• https://onlinebanking#.wachovia.com/myAccounts.aspx?referrer=authService
• https://onlinebanking.huntington.com/*
• https://onlinebanking.huntington.com/index.aspx
• https://p6.secure.hostingprod.com/@www.39davidworld.com/ssl/bott.jpg
• https://p6.secure.hostingprod.com/@www.39davidworld.com/ssl/head.jpg
• https://wachovia.com/
• https://www*.banking.first-direct.com/1/2/*
• https://www.bankofamerica.com/www/global/mvc_objects/images/mhd_reg_logo.gif
• https://www.chase.com/cpp
• https://www.google.com/accounts/ig.gif
• https://www.gruposantander.es/*
• https://www.huntington.com/*
• https://www.moneybookers.com/app/my_account.pl
• https://www.nwolb.com/Login.aspx*
• https://www.paypal.com/*/webscr?cmd=_account
• https://www.paypal.com/*/webscr?cmd=_login-done*
• https://www3.netbank.commbank.com.au/netbank/bankmain*

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://plecerfluent.net/cfg1.bin
• http://permintacher.net/cfg1.bin
• http://caprichobell.net/cfg1.bin
• http://caramelloinze.net/chan/cfg.bin

ユーザが監視サイトのいずれかにアクセスすると、スパイウェアは、キー入力操作情報を収集します。

なお、このファイルの内容である監視Webサイトのリストは、常時変更されます。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• ANZ
• Alertpay
• BBVA
• Banco Bilbao Vizcaya Argentaria
• Bank of America
• Chase
• Citibank
• Citizens
• E-Gold
• Fifth Third
• First Direct
• HSBC
• IS Bank
• Microsoft
• Moneybookers
• Myspace
• National City
• Nationwide
• Natwest
• Navy Federal Credit Union
• OSPM
• Odnoklassniki
• PNC
• PayPal
• RBS
• SEB
• Santander
• Suntrust
• TD Canada Trust
• US Bank
• Vkontakte
• Wachovia
• Washington Mutual
• Wells Fargo

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://caramelloinze.net/chan/bril/server.php

その他

解析の結果、スパイウェアによるバックドア活動は確認されませんでした。

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 74081511814ba97c7868fadc0a3f77e8
• 9bd60663a3607eaae8e8c34b6a6ca458
• d6cf44c7c5761daa68ca2d556e61789a

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 6b2013d23e830d9d3f4fea8bbd8e3a3d1b8fcc19
• d05379507210559c9fc1a6184c13b65fee88b626
• a067a438c05355b1f144d07bca2df48bc4ffcdb2