TSPY_ZBOT.CKO

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

スパイウェアは、以下の悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

• http:/{BLOCKED}ih5h.com/vh65/mas.exe

インストール

スパイウェアは、以下のフォルダを追加します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• dwm.exe
• rdpclip.exe
• ctfmon.exe
• wscntfy.exe
• taskeng.exe
• taskhost.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = %Application Data%\{random1}\{random}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

作成活動

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe
• %Application Data%\{random2}\{random}.{random}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}ih5h.com/vh65/bhkfs.bin

情報漏えい

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• !*.microsoft.com/*
• !http://*myspace.com*
• !http://*odnoklassniki.ru/*
• !http://vkontakte.ru/*
• @https://banking.*.de/cgi/*
• @https://banking.*.de/portal/portal/*
• @https://banking.postbank.de/app/finanzstatus*
• @https://banking.postbank.de/app/ueberweisung*
• @https://banking.postbank.de/app/wel*
• https://*.*.de/portal/portal/*
• https://banking.*.de/cgi/login.cgi
• https://banking.dkb.de/dkb/-*
• https://banking.postbank.de/app/finanzstatus.init.do*
• https://banking.postbank.de/app/static/js/script.js
• https://banking.postbank.de/app/tan.historie.*.do*?viewmode=ta*
• https://banking.postbank.de/app/verwaltung.init.do*
• https://banking.postbank.de/app/welcome.do
• https://kunde.comdirect.de/ccf/deprecated/cdb/js/jsstatic.js
• https://kunde.comdirect.de/lp/wt/login*
• https://kunde.comdirect.de/tx/brokerage/common/*
• https://meine.deutsche-bank.de/trxm/db/*DisplayFinancialOverview*
• https://meine.deutsche-bank.de/trxm/db/*ManageTAN*
• https://someoneinhappens.com/webstat/targobank/55FRCTGAPP82GW3N5GVKDKCVA
• https://www.commerzbanking.de/P-Portal1/XML/*
• https://www.commerzbanking.de/P-Portal1/XML/ifilportal/js_bb/util.js
• https://www.google.com/accounts/ig.gif
• https://www.google.com/accounts/ig.gif
• https://www.targobank.de/*/banque/*
• https://www.targobank.de/*/banque/account_germany/index.html
• https://www.targobank.de/*/banque/between_accounts/index.html
• https://www.targobank.de/*/banque/mouvements.cg*
• https://www.targobank.de/*/banque/situation_financiere.cg*
• https://www.targobank.de/*/banque/situation_financiere.cgi
• https://www.targobank.de/*/online-banking/login.cgi

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• ANZ
• Comdirect
• Commerzbank
• Deutsche Bank
• Microsoft
• Myspace
• Odnoklassniki
• Postbank
• Targobank
• Vkontakte

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}ih5h.com/vh65/ms.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 7f1122d5af4d89ecbd09b5f09947a640

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 56a873f31fda1facca2c30b782d78e019f5d4b5d