TSPY_ZBOT.WITV
プラットフォーム:
Windows 2000, Windows XP, Windows Server 2003
危険度:
感染確認数:
システムへの影響:
情報漏えい:
マルウェアタイプ:
スパイウェア
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい
概要
スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。
詳細
ファイルサイズ 266,240 bytes
タイプ PE
メモリ常駐 はい
発見日 2011年3月22日
ペイロード ファイルのダウンロード
侵入方法
スパイウェアは、以下の悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
- http://{BLOCKED}.{BLOCKED}.44.42/~heheheyo/forum/exe.exe
インストール
スパイウェアは、以下のフォルダを追加します。
- %Application Data%\{random1}
- %Application Data%\{random2}
(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)
スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。
- dwm.exe
- rdpclip.exe
- ctfmon.exe
- wscntfy.exe
- taskeng.exe
- taskhost.exe
自動実行方法
スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = %Application Data%\{random1}\{random}.exe
他のシステム変更
スパイウェアは、以下のレジストリキーを追加します。
HKEY_CURRENT_USER\Software\Microsoft\
{random}
作成活動
スパイウェアは、以下のファイルを作成します。
- %Application Data%\{random1}\{random}.exe
- %Application Data%\{random2}\{random}.{random}
(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)
ダウンロード活動
スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。
- http://{BLOCKED}.{BLOCKED}.44.42/~heheheyo/forum/forum.bin
情報漏えい
スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。
- *.ebay.com/*eBayISAPI.dll?*
- *//mail.yandex.ru/
- *//mail.yandex.ru/index.xml
- *//money.yandex.ru/
- *//money.yandex.ru/index.xml
- */atl.osmp.ru/*
- */login.osmp.ru/*
- */my.ebay.com/*CurrentPage=MyeBayPersonalInfo*
- */www.paypal.com/*_account*
- *bankofamerica.com/*/GotoWelcome*
- *bankofamerica.com/*/SplashPageControl*
- *banquepopulaire.fr/*
- *scotiaonline.scotiabank.com/online/start.jsp*
- *tchek.com*
- *wellsfargo.com/*
- http://*.osmp.ru/
- http://beats4bid.com/marketplace/admin/ssl/ssl/scotia.php
- http://caixasabadell.net/banca2/tx0011/0011.jsp
- http://feedback.ebay.com/ws/eBayISAPI.dll?ViewFeedback&*
- http://www.caixatarragona.es/esp/sec_20/codigos.html
- http://www.hsbc.co.uk/1/2/personal/internet-banking*
- http://www.scotiabank.com/
- https://accesd.desjardins.com/auportADPortail/ObtenirPageAccueil.do*
- https://accesd.desjardins.com/tisecuADGestionAcces/ModifierQuestRepAuthForte.do*
- https://apps.tchek.com/tchekmain/default.asp
- https://areasegura.banif.es/bog/bogbsn*
- https://banca.cajaen.es/Jaen/INclient.jsp
- https://bancaonline.openbank.es/servlet/PProxy?*
- https://bancopostaonline.poste.it/bpol/bancoposta/formslogin.asp
- https://banesnet.banesto.es/*/loginEmpresas.htm
- https://banking*.anz.com/*
- https://banking.hypo.at/html/startseite.wf*
- https://banking.raiffeisen.at/html/startseite.wf*
- https://cardsonline-consumer.com/RBSG_Consumer/VerifyLogin.do
- https://carnet.cajarioja.es/banca3/tx0011/0011.jsp
- https://chaseonline.chase.com/MyA*
- https://easyweb*.tdcanadatrust.com/servlet/*FinancialSummaryServlet*
- https://ebanking.bawag.com/InternetBanking/InternetBanking/*d=*
- https://ebanking.easybank.at/InternetBanking/InternetBanking/*d=*
- https://empresas.gruposantander.es/WebEmpresas/servlet/webempresas.servlets.*
- https://extranet.banesto.es/*/loginParticulares.htm
- https://extranet.banesto.es/npage/OtrosLogin/LoginIBanesto.htm
- https://hb.quiubi.it/newSSO/x11logon.htm
- https://home.cbonline.co.uk/login.html*
- https://home.ybonline.co.uk/login.html*
- https://home.ybonline.co.uk/ral/loginmgr/*
- https://home2ae.cd.citibank.ae/CappWebAppAE/producttwo/capp/action/signoncq.do
- https://ibank.barclays.co.uk/olb/x/LoginMember.do
- https://ibank.internationalbanking.barclays.com/logon/icebapplication*
- https://intelvia.cajamurcia.es/2043/entrada/01entradaencrip.htm
- https://internetbanking.aib.ie/hb1/roi/signon
- https://light.webmoney.ru/default.aspx
- https://lot-port.bcs.ru/names.nsf?#ogin*
- https://moj.multibank.pl/accounts_list.aspx*
- https://moj.multibank.pl/top.aspx
- https://montevia.elmonte.es/cgi-bin/INclient_2098*
- https://oi.cajamadrid.es/CajaMadrid/oi/pt_oi/Login/login
- https://oie.cajamadridempresas.es/CajaMadrid/oie/pt_oie/Login/login_oie_1
- https://olb2.nationet.com/MyAccounts/frame_MyAccounts_WP2.asp*
- https://olb2.nationet.com/signon/signon*
- https://online*.lloydstsb.co.uk/logon.ibc
- https://online-business.lloydstsb.co.uk/customer.ibc
- https://online-offshore.lloydstsb.com/customer.ibc
- https://online.wamu.com/Servicing/Servicing.aspx?targetPage=AccountSummary
- https://online.wellsfargo.com/das/cgi-bin/session.cgi*
- https://online.wellsfargo.com/login*
- https://online.wellsfargo.com/signon
- https://online.wellsfargo.com/signon*
- https://onlinebanking#.wachovia.com/myAccounts.aspx?referrer=authService
- https://onlinebanking.nationalcity.com/OLB/secure/AccountList.aspx
- https://onlinebanking.norisbank.de/norisbank/login.do?method=login*
- https://onlineeast#.bankofamerica.com/*
- https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
- https://pastornetparticulares.bancopastor.es/SrPd*
- https://privati.internetbanking.bancaintesa.it/sm/login/IN/box_login.jsp
- https://probanking.procreditbank.bg/main/main.asp*
- https://resources.chase.com/MyAccounts.aspx
- https://rupay.com/index.php
- https://scrigno.popso.it*
- https://secure.inteligo.com.pl/web*
- https://web.da-us.citibank.com/*BS_Id=MemberHomepage*
- https://web.da-us.citibank.com/cgi-bin/citifi/portal/l/autherror.do*
- https://web.da-us.citibank.com/cgi-bin/citifi/portal/l/l.do
- https://web.secservizi.it/siteminderagent/forms/login.fcc
- https://welcome23.smile.co.uk/SmileWeb/start.do
- https://welcome27.co-operativebank.co.uk/CBIBSWeb/start.do
- https://www#.citizensbankonline.com/*/index-wait.jsp
- https://www#.usbank.com/internetBanking/LoginRouter
- https://www*.banking.first-direct.com/1/2/*
- https://www*.bmo.com/OLB/mes/sec
- https://www*.bmo.com/OLB?id=*
- https://www*.psk.co.at/InternetBanking/InternetBanking/*d=*
- https://www.53.com/servlet/efsonline/index.html*
- https://www.bancajaproximaempresas.com/ControlEmpresas*
- https://www.bancoherrero.com/es/*
- https://www.bbvanetoffice.com/local_bdno/login_bbvanetoffice.html
- https://www.bgnetplus.com/niloinet/login.jsp
- https://www.caixagirona.es/cgi-bin/INclient_2030*
- https://www.caixalaietana.es/cgi-bin/INclient_2042
- https://www.caixaontinyent.es/cgi-bin/INclient_2045
- https://www.caixatarragona.es/esp/sec_1/oficinacodigo.jsp
- https://www.caja-granada.es/cgi-bin/INclient_2031
- https://www.cajabadajoz.es/cgi-bin/INclient_6010*
- https://www.cajacanarias.es/cgi-bin/INclient_6065
- https://www.cajacirculo.es/ISMC/Circulo/acceso.jsp
- https://www.cajadeavila.es/cgi-bin/INclient_6094
- https://www.cajalaboral.com/home/acceso.asp
- https://www.cajasoldirecto.es/2106/*
- https://www.cajavital.es/Appserver/vitalnet*
- https://www.ccm.es/cgi-bin/INclient_6105
- https://www.citibank.de*
- https://www.clavenet.net/cgi-bin/INclient_7054
- https://www.dab-bank.com*
- https://www.e-gold.com/acct/balance.asp*
- https://www.e-gold.com/acct/li.asp
- https://www.ebank.hsbc.co.uk/main/IBLogon.jsp
- https://www.ebgz.pl/jbank-web/jbank/logged/afterLogin.do*
- https://www.fibancmediolanum.es/BasePage.aspx*
- https://www.gbw2.it/cbl/jspPages/form_login_AV.jsp*
- https://www.gem24.pl/NS24Web/pages/myAccounts.jsp*
- https://www.gruposantander.es/*
- https://www.gruposantander.es/bog/sbi*?ptns=acceso*
- https://www.gruppocarige.it/grps/vbank/jsp/login.jsp
- https://www.halifax-online.co.uk/MyAccounts/MyAccounts.aspx*
- https://www.halifax-online.co.uk/_mem_bin/*
- https://www.halifax-online.co.uk/_mem_bin/formslogin.asp*
- https://www.in-biz.it*
- https://www.isbank.com.tr/Internet/ControlLoader.aspx*
- https://www.isideonline.it/relaxbanking/sso.Login*
- https://www.iwbank.it/private/index_pub.jhtml*
- https://www.kb24.pl/MojRachunek*
- https://www.mybank.alliance-leicester.co.uk/login/*
- https://www.nwolb.com/Login.asp*
- https://www.nwolb.com/Login.aspx*
- https://www.nwolb.com/help.aspG
- https://www.paypal.com/*/webscr?cmd=_account
- https://www.paypal.com/*/webscr?cmd=_login-done*
- https://www.pocztowy24.pl/web*
- https://www.rbsdigital.com/Login.asp*
- https://www.sabadellatlantico.com/es/*
- https://www.scotiaonline.scotiabank.com/html/SOPStyles.css
- https://www.scotiaonline.scotiabank.com/html/en/AccessCode_About.html
- https://www.scotiaonline.scotiabank.com/html/en/ScotiaCardSecurityCode_About.html
- https://www.scotiaonline.scotiabank.com/html/s_code.js
- https://www.scotiaonline.scotiabank.com/online/index.jsp?language=French
- https://www.scotiaonline.scotiabank.com/online/start.jsp
- https://www.scotiaonline.scotiabank.com/online/start.jsp?language=English#
- https://www.scotiaonline.scotiabank.com/online/start.jsp?language=French#
- https://www.scotiaonline.scotiabank.com/portal/index.jsp
- https://www.suntrust.com/portal/server.pt*parentname=Login*
- https://www.unicaja.es/PortalServlet*
- https://www.uno-e.com/local_bdnt_unoe/Login_unoe2.html
- https://www.us.hsbc.com/*
- https://www.wellsfargo.com/*
- https://www1.royalbank.com/cgi-bin/rbaccess/rbcgi3m01*
- https://www1.royalbank.com/cgi-bin/rbaccess/rbunxcgi*
- https://www2.bancopopular.es/AppBPE/servlet/servin*
スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。
- AIB
- ANZ
- Alliance & Leicester
- BBVA
- BG Net Plus
- Banca Intesa
- Bancaja
- Banco Herrero
- Banco Pastor
- Banco Popular
- Banesto
- Banif
- Bank of America
- Banque Populaire
- Barclays
- BrokerCreditService
- CCM
- Caixa Girona
- Caixa Laietana
- Caixa Ontinyent
- Caixa Sabadell
- Caixa Tarragona
- Caja Badajoz
- Caja Canarias
- Caja Circulo
- Caja Granada
- Caja Laboral
- Caja Madrid
- Caja Murcia
- Caja Vital
- Caja de Avila
- Caja de Jaen
- Cajarioja
- Cajasol
- Chase
- Citibank
- Citizens
- Clavenet
- Clydesdale
- Co-Operativebank
- DAB
- E-Gold
- Ebay
- Fibanc Mediolanum
- Fifth Third
- Gruppo Carige
- HSBC
- Halifax
- IS Bank
- IW Bank
- Iside
- Lloyds
- National City
- Nationwide
- Natwest
- OSPM
- Openbank
- PayPal
- PosteItaliane
- Procredit
- Qui UBI
- RBS
- Raiffeisen
- Rupay
- Sabadell Atlantico
- Santander
- Scotia Bank
- Scrigno
- Secservizi
- Smile
- Suntrust
- TD Canada Trust
- US Bank
- Unicaja
- Uno-E
- Wachovia
- Washington Mutual
- Webmoney Keeper Light
- Wells Fargo
- Yandex
- Yorkshire
情報収集
スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。
- http://{BLOCKED}.{BLOCKED}.44.42/~heheheyo/forum/post_now.php
ハッシュ値情報
スパイウェアは、以下のMD5ハッシュ値を含んでいます。
- ccb89fafeb738a19350e0bcb39376f64
スパイウェアは、以下のSHA1ハッシュ値を含んでいます
- ada4846b5b13235711499f599d4764e536cd19cd
対応方法
対応検索エンジン: 8.900
初回 VSAPI パターンバージョン 7.918.17
初回 VSAPI パターンリリース日 2011年3月22日
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
回復コンソールを使用して、TSPY_ZBOT.WITV として検出されるファイルを確認し、削除します。
[ 詳細 ]
手順 3
このレジストリ値を削除します。
[ 詳細 ]
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random CLSID}=%Application Data%\{random1}\{random}.exe
- {random CLSID}=%Application Data%\{random1}\{random}.exe
手順 4
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TSPY_ZBOT.WITV」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 5
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_ZBOT.WITV」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください