TSPY_ZBOT.SMJT

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 ユーザが監視サイトのいずれかにアクセスすると、スパイウェアは、キー入力操作情報を収集します。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

感染ポイント

スパイウェアは、以下のWebサイトからダウンロードされたファイルとして、コンピュータに侵入します。

• http://{BLOCKED}m.com/uploads/z2.exe

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe
• %Application Data%\{random2}\{random}.{random}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{8ED4D023-9920-9DEC-4CE7-1836FC1DE473} = %Application Data%\{random1}\{random}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}
@ =  

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• */surf.*
• *193.104.12.127*
• *blinkx.com*
• *clients.google.com*
• *eset.com*
• *facebook.com*
• *get_flash_info*
• *hottraffic*
• *jump2*
• *mcafee.com*
• *messagebroker*
• *mochibot.com*
• *myspace.com*
• *myspacecdn.com*
• *processplace.com*
• *scanscout.com*
• *slashkey.com*
• *tube.com*
• *wfrtube.net*
• *zango.com*
• http*activa24.ccm.es/BEWeb/2105/6105/inicio_identificacion.action*
• http*bancoherrero.com/*
• http*barclays.es/*
• http*bbvanetoffice.com/*
• http*caixacatalunya.com/*
• http*caixapenedes.com/*
• http*cajacanarias.es/*
• http*cajaduero.es/*
• http*deutsche-bank.es/*
• http*ruralvia.com/isum/Main?ISUM_SCR=login&loginType=accesoSeguro&ISUM_Portal=*&acceso_idioma=es_ES*
• http*sabadellatlantico.com/cs/Satellite/SabAtl/*
• http://4.bp.blogspot.com/_YWqmXigxG9o/Rvtor063NBI/AAAAAAAAAjc/Y7zzEu8qTEk/s320/ruralvia.gif
• http://cajacanarias.es/img/logo/logo-caja.gif
• http://dflam.com/az_adm/inj_gate.php
• http://www.caixacatalunya.com/caixacat/es/ccpublic/img_comun/redlogo_small.gif
• http://www.lico.es/img/logos/logo2105.gif
• https://*.cai.es*
• https://*.caja-granada.es*
• https://*activa24.ccm.es*
• https://*caixatarragona.es*
• https://*caja-ingenieros.es*
• https://*cajaelectronica.cajadeavila.es*
• https://*cajaextremadura.es*
• https://*lacajadecanarias.es*
• https://*lineacb.cajabadajoz.es*
• https://*mediolanum.es*
• https://*oficina24hores.caixagirona.es*
• https://*oie.cajamadridempresas.es*
• https://*sanostra.es*
• https://*vitalnet.cajavital.es*
• https://www.bancoherrero.com/cs/Satellite?blobcol=urldata&blobkey=id&blobtable=MungoBlobs&blobwhere=1191489399917&ssbinary=true
• https://www.barclays.es/publico/images/logo.png
• https://www.bbvanetoffice.com/mult/logo_nuevo.gif
• https://www.caixapenedes.com/imatges/logo_lema_cat.gif
• https://www.cajaduero.es/particulares/img/logocajaduero.gif
• https://www.deutsche-bank.es/pbc/img/logo_promo.gif
• https://www.google.com/accounts/ig.gif
• https://www.sabadellatlantico.com/cs/Satellite?blobcol=urldata&blobkey=id&blobtable=MungoBlobs&blobwhere=1191517669265&ssbinary=true
• https://www.verisign.es/hp07/i/vlogo.gif

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}m.com/z2.nrg
• http://{BLOCKED}lta.biz/z2.nrg
• http://{BLOCKED}m.com/uploads/z2.nrg

ユーザが監視サイトのいずれかにアクセスすると、スパイウェアは、キー入力操作情報を収集します。

なお、このファイルの内容である監視Webサイトのリストは、常時変更されます。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• BBVA
• Banco Herrero
• Barclays
• CCM
• Caixa Catalunya
• Caixa Girona
• Caixa Tarragona
• Caixa de Balears
• Caja Badajoz
• Caja Canarias
• Caja Duero
• Caja Granada
• Caja Madrid
• Caja Rural
• Caja Vital
• Caja de Avila
• Caja de Extremadura
• Deutsche Bank
• Facebook
• La Caja de Canarias
• McAfee
• Myspace
• Sabadell Atlantico

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}m.com/up.php

その他

解析の結果、スパイウェアによるバックドア活動は確認されませんでした。

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 37c996c3fa5a8c8acc03908d0180c921

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 914ee83d126a4094941055a03dc3fd593ed98b57