TSPY_ZBOT.KLZQ

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}lebien.net/reg/mac.exe

インストール

スパイウェアは、以下のフォルダを追加します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe
• taskhost.exe
• taskeng.exe
• Dwm.exe
• wscntfy.exe
• ctfmon.exe
• rdpclip.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID of mount point of %Windows%} = %Application Data%\{random1}\{random}.exe

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random} - contains encrypted stolen data

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft
{random} =

スパイウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%WINDOWS%\\EXPLORER.EXE = %WINDOWS%\EXPLORER.EXE:*:Enabled:Windows Explorer

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• *.53.com/servlet/efsonline/index.html*
• *.bankofamerica.com/*
• *.bbvanetoffice.com/*/login_bbvanetoffice.html
• *.citizensbankonline.com/*/index-wait.jsp
• *.nationet.com/MyAccounts/*
• *.navyfcu.org/*AccountSummary*
• *.usbank.com/internetBanking/RequestRouter*
• *.wachovia.com/myAccounts*
• */atl.osmp.ru/*
• */banking*.anz.com/*
• */easyweb*.tdcanadatrust.com/*FinancialSummaryServlet*
• */inet-banking.arvest.com/*
• */login.osmp.ru/*
• */olb2.nationet.com/signon/signon*
• */online.wamu.com/*Page=AccountSummary
• */onlinebanking.nationalcity.com/*/AccountList*
• */resources.chase.com/MyAccounts.aspx
• */www.e-gold.com/acct/li.asp
• */www.netteller*WCI=balances*
• */www.nwolb.com/Login.asp*
• *alertpay.com/AccountOverview*
• *alertpay.com/Login*
• *bankofamerica.com/cgi-bin*
• *bbvanetcash.com*
• *bwin.com*Default.asp*
• *c-gold.com/account/login.php*
• *citibank.com*
• *e-gold.com/acct/balance.asp*
• *fcu.org/*
• *isbank.com.tr/Internet/ControlLoader.aspx*
• *netteller.com*Login.aspx
• *online.citibank.com/US/JPS/portal/Index.do
• *online.citibank.com/US/JSO/signon/*
• *online.citibank.com/signin/UnameSignonCookie.do
• *paypal.com/*/webscr?cmd=_account
• *paypal.com/*/webscr?cmd=_login-done*
• *rbsdigital.com/Login.asp*
• *skype.com*
• *suntrust.com/portal/server.pt*parentname=Login*
• *us.hsbc.com/*
• *wellsfargo.com/*
• http://*google.*/search?hl=*
• https://*.alaskausa.org/*
• https://*.scottrade.com/*
• https://*chase.com/MyAccounts.aspx
• https://*dcu.com*
• https://*sanpaoloimi.com/*
• https://*usbank.com/internetBanking/LoginRouter
• https://allied.direct.abl.com.pk/*
• https://banking.chevychasebank.com/cgi-bin/Banking/*/signin/*ogin*
• https://cardsonline-consumer.com/RBSG_Consumer/VerifyLogin.do
• https://chaseonline.chase.com/*ogon.aspx*
• https://fbmedirect.com/FLEXCUBEAT/LiveConnect.dll
• https://netteller*.pncs.com.au/806015V451/ntv45.asp?*=entry
• https://online.wamu.com/Servicing/Servicing.aspx?targetPage=AccountSummary
• https://online.wellsfargo.com/das/cgi-bin/session.cgi*
• https://onlinebanking#.wachovia.com/myAccounts.aspx?referrer=authService
• https://onlinebanking.huntington.com/*
• https://wachovia.com/
• https://www*.banking.first-direct.com/1/2/*
• https://www.gruposantander.es/*
• https://www.huntington.com/*
• https://www.moneybookers.com/app/my_account.pl
• https://www.nwolb.com/Login.aspx*
• https://www.paypal.com/*/webscr?cmd=_account
• https://www.paypal.com/*/webscr?cmd=_login-done*
• https://www3.netbank.commbank.com.au/netbank/bankmain*

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}dinvest.net/cfg1.bin
• http://{BLOCKED}tacher.net/cfg1.bin
• http://{BLOCKED}hobell.net/cfg1.bin
• http://{BLOCKED}lebien.net/reg/cfg.bin

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• ANZ
• Alertpay
• BBVA
• Bank of America
• Chase
• Citibank
• Citizens
• E-Gold
• Fifth Third
• First Direct
• HSBC
• IS Bank
• Moneybookers
• National City
• Nationwide
• Natwest
• OSPM
• PayPal
• RBS
• SEB
• Santander
• Suntrust
• TD Canada Trust
• US Bank
• Wachovia
• Washington Mutual
• Wells Fargo

情報の送信先

収集された情報は、以下のWebサイトにアップロードされます。

• http://{BLOCKED}lebien.net/reg/shape/server.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• d4d299541ee8a543a99b0ccaf262b355

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• e0fd897ced39c862a9cc9ae3d104d8ccdff350bc