TSPY_ZBOT.TEZ

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

スパイウェアは、以下の悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

• http://{BLOCKED}uadg.com/eso/isp.exe

インストール

スパイウェアは、以下のフォルダを追加します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• dwm.exe
• rdpclip.exe
• ctfmon.exe
• wscntfy.exe
• taskeng.exe
• taskhost.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = %Application Data%\{random1}\{random}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

作成活動

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe
• %Application Data%\{random2}\{random}.{random}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}uadg.com/eso/esa.sp

情報漏えい

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• !*.microsoft.com/*
• !http://*myspace.com*
• !http://*odnoklassniki.ru/*
• !http://vkontakte.ru/*
• *arquia.es*flash.asp
• *barclays.es*
• *bbvanetoffice.com*DFServlet
• *bbvanetoffice.com*login_bbvanetoffice.html
• *caixacatalunya.com/*/Home/*,,00.html
• *caixacatalunya.com/*/benvinguda*
• *caixacatalunya.com/*/bienvenida*
• *caixapenedes.com*
• *caixasabadell.net*
• *caixasabadell.net*teclado.js
• *caixatarragona.es*
• *cajaduero.es*
• *cajalaboral.com*acceso_es.js
• *cajalaboral.com*home.aspx
• *cam.es*
• *cam.es*form_camdirecto.js
• *ce.caixalaietana.es*inicio_identificacion.action
• *iurisbank.com/isum/Main?ISUM_SCR=login*
• *iurisbank.com/js/checkUsuPass.js
• *iurisbank.com/js/interface.js
• *kutxa.net*loginkn.jsp*
• *lloyds*
• *lloyds*layout.js
• *net.kutxa.net*styles_acceso.css
• *ruralvia.com/isum/Main?ISUM_SCR=login*
• *ruralvia.com/js/checkUsuPass.js
• *ruralvia.com/js/interface.js
• http*cajamadridempresas.es*login_nuevo_oie.js
• http*cajamadridempresas.es*login_oie_*
• http*empresas.gruposantander.es*login.js
• http*empresas.gruposantander.es/WebEmpresas/servlet/webempresas.servlets.CompressJSP?JSP=nueva_imagen/inicio.jsp*
• http*inversis.com*
• http*inversis.com*/js/inversiones/common.js
• http*online.halifax.es*
• http://caixatarragona.es/img/logo_discriminador.gif
• https://caixasabadell.net/banca2/comun/NW/img/logoUnnim.gif
• https://login.facebook.com/*
• https://oie.cajamadridempresas.es/CajaMadrid/oie/imagenes/logocm.gif
• https://www.barclays.es/publico/images/logo.png
• https://www.bbvanetoffice.com/mult/logo_nuevo.gif
• https://www.caixacatalunya.com/NASApp/ceconline/flow.jsp
• https://www.caixacatalunya.com/caixacat/eng/ccpublic/img_comun/redlogo_small.gif
• https://www.caixapenedes.com/imatges/logo_lema_cat.gif
• https://www.caixatarragona.es/img/b24h_submit.gif
• https://www.cajaduero.es/CajaElectronica/images/CajaElectronica/logocajaduero.gif
• https://www.cajalaboral.com/clweb/img/all/logo.png
• https://www.cam.es/Imagenes%20Caja%20Ahorros%20Mediterranea/ES/Logos-Simbolos/Simbolos/logo.jpg
• https://www.iurisbank.com/es_ES/img/logo_acceso_3171.gif
• https://www.ruralvia.com/estilos_prtl/css_acceso/img/logorvia05.gif

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• BBVA
• Barclays
• Caixa Catalunya
• Caixa Laietana
• Caixa Penedès
• Caixa Sabadell
• Caixa Tarragona
• Caja Duero
• Caja Laboral
• Caja Madrid
• Caja Mediterráneo
• Facebook
• Halifax
• IS Bank
• Inversis
• Kutxanet
• Lloyds
• Microsoft
• Myspace
• Odnoklassniki
• Ruralvia
• Santander
• Vkontakte

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}otor.ru/esp/gujoh.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• aab069cecef80a3af3ec34dbd61c587c

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• aa86a8e8485fedb0d313621da42f8c683658c265