TSPY_ZBOT.ZBP
Windows 2000, XP, Server 2003
マルウェアタイプ:
スパイウェア
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。 スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。 スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。
スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。
スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。
スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。
- http://{BLOCKED}.{BLOCKED}.197.100/~hosting/uk2/uk.exe
インストール
スパイウェアは、以下のファイルを作成します。
- %Application Data%\{random1}\{random}.exe - copy of itself
- %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file
(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)
スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。
スパイウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。
- ctfmon.exe
- dwm.exe
- explorer.exe
- rdpclip.exe
- taskeng.exe
- taskhost.exe
- wscntfy.exe
スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。
自動実行方法
スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = {malware path and file name}
他のシステム変更
スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = 0
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer
Webブラウザのホームページおよび検索ページの変更
スパイウェアは、IEのゾーン設定を変更します。
情報漏えい
スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。
- !*.microsoft.com/*
- !https://www.advanced-web-analytics.com*
- !http://*myspace.com*
- https://www.gruposantander.es/*
- !http://*odnoklassniki.ru/*
- !http://vkontakte.ru/*
- @*/login.osmp.ru/*
- @*/atl.osmp.ru/*
- *login.yahoo.com*
- *login.live.com*
- http://www.facebook.com/index.ph*
- https://www.hsbc.co.uk/1/2/*
- https://www.hsbc.co.uk/1/2/!ut/p/kcxml/*
- *.hsbc.co.uk/1/2/*
- *.hsbc.co.uk/1/2/*idv.CustomerMigration
- https://myonlineaccounts*.abbeynational.co.uk/CentralLogonWeb/MyPersonalHomepage*
- https://service.oneaccount.com/*/OSV2?event=login&pt=3
- https://www.365online.com/servlet/Dispatcher/login.htm
- https://www.365online.com/servlet/Dispatcher/login2.htm
- https://www.365online.com/servlet/Dispatcher/validate.htm
- *coventrybuildingsociety.co.uk*
- https://www.accessmycardonline.com/RBS_Consumer/*
- https://www.nochex.com/*
- */CapitalOne_Consumer/*
- https://www.bankcardservices.co.uk/NASApp/NetAccessXX/*
- https://my.if.com/_mem_bin/formslogin.asp*
- https://olb2.nationet.com/MyAccounts/*
- https://cardsonline-consumer.com/RBSG_Consumer/*
- https://online-offshore.lloydstsb.com/*
- https://onlinebanking.firsttrustbank.co.uk/*
- https://secure.ingdirect.co.uk/InitialINGDirect.html*
- https://database.acornmediauk.com/*
- https://uk.virginmoney.com/virgin/service/credit-card/*
- *npbs.co.uk*
- https://*ulsterbankanytimebanking.*/login.aspx*
- https://service.oneaccount.com/onlineV2/*viewPortal*
- https://secure.natweststockbrokers.co.uk/nws-secure2/*
- https://www.caterallenonline.co.uk/WebAccess.dll
- https://myonlineaccounts3.abbeynational.co.uk/GPCC_ENS/BtoChannelDriver.ssobto*
- https://www.edirectdebit.com/administration/client/logon.aspx
- *commissioncontrol.net*
- *tuxedomoney.com*
- https://www.cardonebanking.com/auth*
- https://*abbeynational.co.uk*
- http*://*alliance-leicester.co.uk*
- http*://*cbonline.co.uk*
- http*://*co-operativebank.co.uk*
- http*://*lloydstsb.co.uk*
- http*://*smile.co.uk*
- http*://*ybonline.co.uk*
- https://www.paypal.com/*/cgi-bin/webscr?cmd=_account*
- https://www.paypal.com/*/webscr?cmd=_login-done*
- https://www.paypal.com/*/cgi-bin/webscr?cmd=*_account*
- https://www.paypal.com/*/cgi-bin/webscr?cmd=_login-done*
- https://www.citibank.co.uk/*/signon/uname/HomePage*
- https://www.citibank.co.uk/*/portal/Index*
- */my.ebay.*/*CurrentPage=MyeBayPersonalInfo*
- */my.ebay.*/*
- *.ebay.*/*eBayISAPI.dll?*
- *.ebay.*/*eBayISAPI.dll?*
- *.ebay.*/*eBayISAPI.dll?*
- *.ebay.*/*eBayISAPI.dll?*
- *.ebay.*/*eBayISAPI.dll?*
- *.ebay.*/*eBayISAPI.dll?*
- *.ebay.*/*eBayISAPI.dll?*
- *.ebay.*/*eBayISAPI.dll?*
- *.ebay.*/*eBayISAPI.dll?*
- https://www.icicibank.co.uk/UKRET/BANKAWAY*
- *.partnerandaffinitycards.co.uk/servicing/Logon.aspx?*
- https://www.bankcardservices.co.uk/NASApp/NetAccessXX/AccountSnapshotScreen?acctID*
- https://your.egg.com/customer/yourmoney.aspx
- https://your.egg.com/customer/personaldetails/yourinformation.aspx
- https://www.capitaloneonline.co.uk/*
- https://*.banking.first-direct.com/1/2/balances*
- https://secure.ingdirect.co.uk/INGDirect.html?command=displayClientAccountSummary*
- https://olb2.nationet.com*
- https://www.moneybookers.com/app/my_account.pl
- https://www.365online.com/servlet/Dispatcher/*
- https://ibank.cahoot.com/*
- https://service.oneaccount.com/onlineV2/*
- https://my.if.com/PlanReviewAct/plan.asp*
- https://my.if.com/*
- https://www*.banking.first-direct.com/1/2/*
- https://www*.banking.first-direct.com/1/2/*
- https://www*.banking.first-direct.com/1/2/*
- https://*ibank.internationalbanking.barclays.com/*
- https://ibank.internationalbanking.barclays.com/logon*
- https://*ulsterbankanytimebanking.co.uk/*
- https://home.cbonline.co.uk/ralu/loginmgr/partialPassword.ctl*
- https://home.cbonline.co.uk/ralu/loginmgr/loginSetup.ctl*
- https://home.ybonline.co.uk/ralu/loginmgr/partialPassword.ctl*
- https://home.ybonline.co.uk/ralu/loginmgr/loginSetup.ctl*
- https://welcome27.co-operativebank.co.uk/CBIBSWeb/*
- https://welcome27.co-operativebank.co.uk/CBIBSWeb/passcode.do
- https://welcome23.smile.co.uk/SmileWeb/*
- https://welcome23.smile.co.uk/SmileWeb/passcode.do
- *mybank.alliance-leicester.co.uk*
- *mybank.alliance-leicester.co.uk/view_accounts/VA*
- *mybank.alliance-leicester.co.uk/move_money/*MM*.asp*
- *mybank.alliance-leicester.co.uk/your_payees/YP1point1a.asp*
- https://online-business.lloydstsb.co.uk/customer.ibc*
- https://online-business.lloydstsb.co.uk/logon.ibc
- https://online-business.lloydstsb.co.uk/miheld.ibc
- https://www.mybusinessbank.co.uk/cs70_banking/*
- https://www.mybusinessbank.co.uk/cs70_banking/logon/logon/pmPassword
- https://www.mybusinessbank.co.uk/cs70_banking/logon*
- https://www.mybusinessbank.co.uk/cs70_banking/logon/sbuser/getPassword
- https://www.mybusinessbank.co.uk/cs70_banking/logon/logon/enrollPassword
- https://www.mybusinessbank.co.uk/cs70_banking/logon/logon/password
- https://www.mybusinessbank.co.uk/cs70_banking/logon/challenge/submit
- https://www.barclayswealth.com/login/action/logon/unauthenticated/personal/loginDetailsNotStored
- https://www.barclayswealth.com/login/action/logon/unauthenticated/personal/loginSigning
- https://www.bankline.coutts.com/CWSLogon/4P/CheckId.do
- https://www.bankline.coutts.com/CWSLogon/4P/CheckPPPP.do
- https://www.bankline.coutts.com/CWSLogon/*
- https://welcome10.co-operativebankonline.co.uk/*security?*
- https://ibank.cahoot.*/servlet/com.aquarius.security.authentication.servlet.LogonServlet*
- https://cardservicing.tescofinance.com/RBSG_Consumer/UserLogin.do*
- https://cardservicing.tescofinance.com/RBSG_Consumer/VerifyLogin.do*
- https://online.islamic-bank.com/online/aspscripts/secret*.asp*
- https://online.ybs.co.uk/public/authentication/login2.do*
- https://home.ybonline.co.uk/ralu/loginmgr/partialPassword.ctl
- https://home.ybonline.co.uk/ralu/loginmgr/loginQuestion.ctl
- https://home.cbonline.co.uk/ralu/loginmgr/partialPassword.ctl
- https://home.cbonline.co.uk/ralu/loginmgr/loginQuestion.ctl
- https://www.business.hsbc.co.uk/1/2/online-services/accounts/account-list*
- https://www.business.hsbc.co.uk/1/2/!ut/p/kcxml/04_Sj9SPykssy*
- *.business.hsbc.co.uk/1/2/bib*
- https://www.business.hsbc.co.uk/1/2/*dv_cmd=idv.Authenticat*
- https://ibank.barclays.co.uk/*
- https://ibank.barclays.co.uk/olb/*/Statement*
- https://ibank.barclays.co.uk/olb/*/PersonalFinancialSummary.do?action=*
- https://ibank.barclays.co.uk/olb/*/LoginTFA.do
- https://ibank.barclays.co.uk/olb/*/SelectPaymentAccount.do?action=New+Payment||Pay+Someone
- https://ibank.barclays.co.uk/olb/*/SelectPaymentAccount.do
- https://ibank.barclays.co.uk/olb/*/NewPayee.do
- https://ibank.barclays.co.uk/olb/*/PayBill2.do
- https://ibank.barclays.co.uk/olb/*/PayBill3.do
- https://ibank.barclays.co.uk/olb/*/PayBill3a.do
- https://ibank.barclays.co.uk/olb/*/NewPaymentSuccess.do
- *.banking.firstdirect.com*idv_cmd=idv.Authentication
- *.banking.firstdirect.com/1/2/!ut/p/kcxml/04_Sj9SPykssy*
- *.banking.firstdirect.com/1/2/!ut/p/kcxml/*
- *rbsdigital.com/login.aspx*
- *rbsdigital.com/AccountSummary.aspx
- https://welcome27.co-operativebank.co.uk/CBIBSWeb/loginSpi.do
- https://welcome27.co-operativebank.co.uk/CBIBSWeb/loginSpi.do
- https://welcome27.co-operativebank.co.uk/CBIBSWeb/fundsTransferSummaryPrepare.do*
- https://welcome27.co-operativebank.co.uk/CBIBSWeb/fundsTransferCreatePrepare.do*
- https://welcome27.co-operativebank.co.uk/CBIBSWeb/passcode.do
- https://www.bankline.rbs.com/CWSLogon/logon.do*
- https://www.bankline.rbs.com/CWSLogon/4P/CheckId.do*
- https://www.halifax-online.co.uk/CustomerAuthentication/*
- https://secure.lloydstsb.co.uk/personal/*
- https://online.lloydstsb.co.uk/logon.ibc
- https://secure.lloydstsb.co.uk/personal/*/logon/*ntermemorableinformation.jsp
- https://secure.lloydstsb.co.uk/personal/*
- https://secure.lloydstsb.co.uk/personal/a/eiaauthentication/phoneauthenticationinprogress.jsp
- https://secure.lloydstsb.co.uk/personal/a/makepayment/payeesetupsuccessfully.jsp
- https://secure.lloydstsb.co.uk/personal/a/makepayment/confirmpayeedetails.jsp
- https://secure.lloydstsb.co.uk/personal/a/viewproductdetails/ViewProductDetails.jsp
- https://secure.lloydstsb.co.uk/personal/a/viewproductdetails/ViewProductDetails.jsp?pnlTabpane=1&al=
- https://secure.lloydstsb.co.uk/personal/a/account_details/*
- https://online-business.lloydstsb.co.uk/standingorder.ibc*
- https://online-business.lloydstsb.co.uk/actionaccount.ibc*SelectAction=standingorder.ibc
- https://ebanking.northernbank.co.uk/northernnetbank/startnbac.htm
- *nwolb.com/login.aspx*
スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。
スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。
- http://{BLOCKED}.{BLOCKED}.197.100/~hosting/uk2/ukdase.db
ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。
スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。
- Alliance & Leicester
- Barclays
- Cahoot
- Capital One
- Citibank
- Clydesdale
- Co-Operativebank
- Ebay
- First Direct
- HSBC
- Halifax
- ING Direct
- Lloyds
- Microsoft
- Moneybookers
- Myspace
- Nationwide
- Natwest
- OSPM
- Odnoklassniki
- PayPal
- RBS
- Santander
- Smile
- Vkontakte
- Yorkshire
情報の送信先
収集された情報は、以下のWebサイトにアップロードされます。
- http://195.226.197.24/woops/ttf.php
ハッシュ値情報
スパイウェアは、以下のMD5ハッシュ値を含んでいます。
- 22a83cc171b98c3aaae2f47e67500e78
スパイウェアは、以下のSHA1ハッシュ値を含んでいます
- 46a30c1d32cdb82e43c2113829338cbfbf3674cd
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「TSPY_ZBOT.ZBP」で検出したパス名およびファイル名を確認し、メモ等をとってください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Privacy
- CleanCookies = 0
- CleanCookies = 0
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {GUID} = {malware path and file name}
- {GUID} = {malware path and file name}
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
- %Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer
- %Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer
手順 5
Internet Explorer（IE）のセキュリティ設定を修正します。
手順 6
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_ZBOT.ZBP」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください