TSPY_ZBOT.ZBR
プラットフォーム:
Windows 2000, XP, Server 2003
危険度:
感染確認数:
システムへの影響:
情報漏えい:
マルウェアタイプ:
スパイウェア
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。 スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。 スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。
スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。
スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。
詳細
ファイルサイズ 111,104 bytes
タイプ PE
メモリ常駐 はい
発見日 2010年10月8日
ペイロード その他, 情報収集
侵入方法
スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。
スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。
- http://{BLOCKED}4.153.101/kazsync.exe
インストール
スパイウェアは、以下のファイルを作成します。
- %Application Data%\{random1}\{random}.exe - copy of itself
- %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file
(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)
スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。
スパイウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。
- ctfmon.exe
- dwm.exe
- explorer.exe
- rdpclip.exe
- taskeng.exe
- taskhost.exe
- wscntfy.exe
スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。
自動実行方法
スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = {malware path and file name}
他のシステム変更
スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_CURRENT_USER
CleanCookies = 0
HKEY_LOCAL_MACHINE
%Windows%\\\\EXPLORER.EXE = %Windows%\\EXPLORER.EXE:*:Enabled:Windows Explorer
Webブラウザのホームページおよび検索ページの変更
スパイウェアは、IEのゾーン設定を変更します。
情報漏えい
スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。
- !*livejournal.com*
- !*facebook.com*
- !*myspace.com*
- !*youtube.com*
- !*blogger.com*
- !*amazon.com*
- !*.microsoft.com/*
- !*flickr.com*
- !http://*myspace.com*
- @*//www.svbconnect.com/security/challengeVerify.do
- @*//ultrabranch.alaskausa.org/efs/servlet/efs/*password*
- @*//ktt.key.com/ktt/cmd/validatePinForm
- @*//ktt.key.com/ktt/cmd/logonFromKeyCom
- @*ingdirect.com*
- http*scripts/injScp.js*
- http://lltron.com/77d1078a-4124-54a2-81a8-fccfb9720ead/script.js
- */my.ebay.com/*CurrentPage=MyeBayPersonalInfo*
- *.ebay.com/*eBayISAPI.dll?*
- https://www.us.hsbc.com/*
- https://online.wellsfargo.com/das/cgi-bin/session.cgi*
- https://www.paypal.com/*/webscr?cmd=_account
- https://www.paypal.com/*/webscr?cmd=_login-done*
- https://www#.usbank.com/internetBanking/LoginRouter
- https://www#.citizensbankonline.com/*/index-wait.jsp
- https://onlinebanking.nationalcity.com/OLB/secure/AccountList.aspx
- https://www.suntrust.com/portal/server.pt*parentname=Login*
- https://www.53.com/servlet/efsonline/index.html*
- https://web.da-us.citibank.com/*BS_Id=MemberHomepage*
- *bankofamerica.com*
- https://online.wamu.com/Servicing/Servicing.aspx?targetPage=AccountSummary
- https://businessonline.tdbank.com/CorporateBankingWeb/Core/Login.aspx*
- https://online.citibank.com/*
- https://webexpress.tdbanknorth.com/wcmfd/wcmpw/CustomerLogin
- https://www.sterlingwires.com/
- https://trading.scottrade.com/home/default.aspx
- https://www.svbconnect.com/security/integratedLoginAuth.do
- https://www.svbconnect.com/useraccess/Login.jsp
- https://www.svbconnect.com/*
- https://chaseonline.chase.com/MyAccounts.aspx
- https://www.securechemicalbankmi.com/onlineserv/CM/
- https://commercial.wachovia.com/Online/Financial/Business/Service*
- https://internetbanking.firsttennessee.biz/*
- https://ibank.scnb.com/inets/Login.cfm
- https://cashman.arvest.com/cashman*Auth.asp
- https://www.sterlingcorporatenetbanking.com/bbw/cmserver/login_validate.cfm*
- https://www.directline4biz.com/bbw/cmserver/login_validate.cfm*
- https://www.directline4biz.com/challenge100.cfm
- https://www.us.hsbc.com/*business.online*
- *userid=*
- https://cm.netteller.com/login*/Authentication/Views/LoginCM.aspx
- https://treas-mgt.frostbank.com/rdp/cgi-bin/*
- https://www.frostbank.com/sitemap/Pages/default.aspx
- https://secure.ingdirect.com/myaccount/INGDirect.html
- https://secure.ingdirect.com/myaccount/InitialINGDirect.html*
- https://www.eastwestbankhb.com/onlineserv/CM/*
- https://usgateway1.rbs.com/usgateway/cb/gpsmoneymanager.jsp
- https://usgateway2.rbs.com/usgateway/cb/gpsmoneymanager.jsp
- http://fbtonline.com/home/
- https://banking.calbanktrust.com/iLogin.jsp
- http://www.ncsecu.org/*
- https://onlineaccess.ncsecu.org/login.aspx
- http://unfcu.org/
- http://www.unfcu.org/
- https://singlepoint.usbank.com/*
- https://onlinetreasurymanager.suntrust.com/ibswebsuntrust/cmserver/welcome/default/verify.cfm
- https://www.whitneybank.web-access.com/whitney/cgi-bin/welcome.cgi
- https://alltimetreasury.pacificcapitalbank.com/TekPortfolio/servlet/TB_UI_Controller*
- https://commerceconnections.commercebank.com/ibank/cmserver/welcome/default/verify.cfm
- https://myib.firstmerchants.com/fi3039a_auth/sbuser/slogon
- https://www.independentcm.com/onlineserv/CM/
- https://www.columbiabankonline.com/onlineserv/CM/index.cgi
- https://www.columbiabankonline.com/onlineserv/CM/
- https://access.jpmorgan.com/appmanager/jpmalogonportal/jpmalogonhome*
- http://www.jpmorganaccess.com/*
- https://www.nationalcity.com/consultnc/
- https://goldleafach.com/ach/Login.aspx*
- https://*.web-cashplus.com/Cashplus/
- https://www.businessonlineaccess.web-cashplus.com/Cashplus/1
- https://secure.fundsxpress.com/piles/fxweb.pile/custom_login?template=login&no_top_url=1&iid=ABMWI
- https://bnycash.bankofny.com/
- https://itreasury.regions.com/phcp/servlet/CustomerLoginServlet
- https://www.easterntreasuryconnect.com/bbw/cmserver/welcome/default/verify.cfm
- https://www.easterntreasuryconnect.com/bbw/cmserver/appserver_login_validate.cfm
- https://www.mybusinessbank.co.uk/cs70_banking/logon/slogon
- https://www.mybusinessbank.co.uk/cs70_banking/logon/slogon
- https://www.mybusinessbank.co.uk/cs70_banking/logon/slogon
- https://www.manufacturers.web-access.com/wa/cgi-bin/welcome.cgi
- https://www.manufacturers.web-access.com/wa/cgi-bin/welcome.cgi
- *injtoken*
- https://www.bankoffortbendonline.com/onlineserv/CM*
- https://bankoffortbendonline.com/onlineserv/CM*
- https://www.ffsbkyonline.com/*
- https://www2.alerusfinancial.com/cashman/default.Aspx
- https://www2.alerusfinancial.com/cashman//Auth.asp
- https://www2.alerusfinancial.com/out.html
- https://cm.firstbankpr.com/cashplus/
- https://treasury.wamu.com/ibswamu/cmserver/welcome/default/verify.cfm
- https://treasury.wamu.com/ibswamu/cmserver/login_validate.cfm*
- https://treasury.wamu.com/bbw/cmserver/include/challenge100.cfm
- https://passport.texascapitalbank.com/BankNow.aspx*
- https://passport.texascapitalbank.com/CustomError.aspx
- https://passport.texascapitalbank.com/Default.aspx
- https://ecash.fsbnm.com/cashman/Default.aspx
- https://ecash.fsbnm.com/cashman//Auth.asp
- https://ecash.fsbnm.com/out.html
- https://cashmanagement.firstambank.com/iBank/cmserver/verify.cfm
- https://cashmanagement.firstambank.com/iBank/cmserver/loginforwardtourl.cfm
- https://www.businesse-cashmanager.web-access.com/natpenn/cgi-bin/welcome.cgi
- https://netconnect.bokf.com/bbw/cmserver/welcome/default/verify.cfm
- https://securentrycorp.calbanktrust.com/Authentication/zbf/k/*
- https://securentrycorp.calbanktrust.com/Authentication/zbf/index?appId=PORTAL&domainId=cbt
- https://securentrycorp.calbanktrust.com/Enrollment/zbf/k/1
- https://*/IBWS/checkUser.do
- https://ktt.key.com/ktt/cmd/logon
- https://cashmgt.firsttennessee.biz/cb/servlet/cb/login.jsp
- https://cashmgt.firsttennessee.biz/WebID/IISWebAgentIF.dll
- https://e-access.compassbank.com/bbw/cmserver/welcome/default/verify.cfm
- https://www.bbvacompass.com/contact/
- https://www.cashanalyzer.com/cgi-bin/carsa#clnt.dll/CA%20-%20Main1/ND000_
- https://www.53.com/wps/portal/cblogin
- https://express.53.com/express/logon.action1
- https://www.nashvillecitizensbank.com/olbb/Login2FA.asp
- https://securentrycorp.zionsbank.com/Authentication/zbf/k/*
- https://securentrycorp.zionsbank.com/Authentication/zbf/index?appId=PORTAL&domainId=zfnb
- https://securentrycorp.zionsbank.com/Enrollment/zbf/k/1
- https://ecash.dacotahbank.com/cashman/default.Aspx
- https://ecash.dacotahbank.com/cashman//Auth.asp
- https://ecash.dacotahbank.com/out.html
- https://securentrycorp.amegybank.com/Authentication/zbf/k/*
- https://securentrycorp.amegybank.com/Authentication/zbf/index?appId=PORTAL&domainId=abt
- https://securentrycorp.amegybank.com/Enrollment/zbf/k/1
- https://securentrycorp.nbarizona.com/Authentication/zbf/k/*
- https://securentrycorp.nbarizona.com/Authentication/zbf/index?appId=PORTAL&domainId=nba
- https://securentrycorp.nbarizona.com/Enrollment/zbf/k/1
- https://www.sterlingwires.com/js/IWPreScript.js_9.0.42*
- https://infoplus.mandtbank.com/cashplus/
- https://www.cbolobank.com/business/login/Login.jsp
- https://www.cbolobank.com/business/j_security_check
- *j_username*
- https://www.cbolobank.com/business/j_security_check
- *j_password*
- http*treasurydirect*tdbank.com*
- http*treasurydirect*tdbank.com*cfm*
- http*treasurydirect*tdbank.com*login_brandScripts.js*
- https*access.wescorp.org*
- https*access.wescorp.org/_Auth*
- http*business-eb.ibanking-services.com/K1/*jsp*
- http*business-eb.ibanking-services.com/K1/*login*jsp*
- http*business-eb.ibanking-services.com*general.js*
- https://pccm.peoples.com/webcm/*
- https://www.businessonline.blilk.com/Core/Authentication/MFA*.aspx
- https://www.businessonline.blilk.com/include/Utils.js
- https://*blilk.com/Core/Authentication/MFA*.aspx
- https://*blilk.com/include/Utils.js
- https://ctreporter.coletaylor.com/bbw/cmserver/welcome/default/verify.cfm
- https://www.ulsterbankanytimebanking.ie/login.aspx*
- https://www.signatureny.web-access.com/signat/cgi-bin/*
- https://www.signatureny.web-access.com/signat/cgi-bin/welcome.cgi
- *injtoken*
- https://*treasury.pncbank.com/*/login.ht
- https://www.pnc.com/webapp/sec/Forms.do?siteArea=/PNC/Feedback+Form
- *ebc_ebc1961*
- *EBC_EBC1961*
- *ebc_ebc1961*
- *EBC_EBC1961*
- *EBC_EBC1961/EBC_NEC/RSAEncrypt.js*
- *ebc_ebc1961/EBC_NEC/RSAEncrypt.js*
- https://cbs.firstcitizens.com/cb/servlet/cb/loginfcbnc.jsp*
- https://cbs.firstcitizens.com/cb/jsp-ns/inc/auth/fp.js*
- https://businessaccess.citibank.citigroup.com/cbusol/signon.do*
- https://businessaccess.citibank.citigroup.com/cbusol/do/htmlserver/js/env.js*
- http*.webcashmgmt.com*Login*
- http*.webcashmanager.com*Login*
- http*/phcp/servlet*Login*
- http*/wcmfd/*Login*
- http*/phcp/econnection/login/js/login.htm*
- http*/wcmfd/js/LoginCSS.js*
- http*treasury.pncbank.com/portal/esec/login.ht*
- http*treasury.pncbank.com/portal/service/js/loginproc.js*
- http*sso.uboc.com/obc/forms/login.fcc*
- http*sso.uboc.com/js/ub-common.js*
- http*bolb.associatedbank.com*
- http*bolb.associatedbank.com/js/jquery.js*
- https://www.53.com/wps/portal/*
- https://www.53.com/wps/portal/cblogin*
- https://direct.53.com/logon53Direct.jsp*
- https://express.53.com/express/logon.action*
- https://express.53.com/express/rsa/RSAScript.js*
- http*ebanking-services.com/*
- http*ebanking-services.com/AUTH/WebResource.axd*
- https://wellsoffice.wellsfargo.com/ceoportal/signon/index.jsp*
- https://chsec.wellsfargo.com/login/login.fcc*
- https://a248.e.akamai.net/6/248/3583/000/wellsoffice.wellsfargo.com/ceoportal/framework/skins/default/js/wria/wria-core-min.js*
- https://businessonline.huntington.com/BOLHome/BusinessOnlineLogin.aspx*
- https://businessonline.huntington.com/common/scripts/common.js*
- https*/pub/html/login.html*
- https://*/cmserver*verify.cfm*
- https://*/cmserver*verify.cfm*
- https://*cmserver/include/ui/uiScripts.js*
- https://*login_ui_includes/login_brandScripts.js*
- https://premierview.membersunited.org/Core/login.aspx*
- https://premierview.membersunited.org/WebResource.axd*
- https://*.web-access.com*welcome.cgi*
- https://*/onlineserv/CM/*
- https://*/onlineserv/CM/std/js/en/disofactor.js*
- https://businessonline.tdbank.com/corporatebankingweb/core/login.aspx*
- https://businessonline.tdbank.com/CorporateBankingWeb/VAM/2_0_2/VAM.js*
- https://authmaster.nationalcity.com/tmgmt/wslogin.jsp*
- https://www.nationalcity.com/consultnc/*
- https://authmaster.nationalcity.com/tmgmt/js/bharosa_uio.js*
- https://www.nationalcity.com/sharedApp/js/isEmpty.js*
- https://*blilk.com/Core/Authentication/MFA*.aspx*
- https://*blilk.com/include/Utils.js*
- https://olb.gnty.com/Login/Username.aspx*
- https://cm.netteller.com/login2008/Authentication/Views/Login.aspx*
- https://cm.netteller.com/login2008/Scripts/NetTellerCorners.js*
- https://securentrycorp.*/Authentication/zbf/k/*
- https://securentrycorp.*/Authentication/lib.js*
- https://ecash.*
- https://*Cashman*
- https://*cashman*
- http*business-eb.ibanking-services.com/K1/*login*jsp*
- http*business-eb.ibanking-services.com*general.js*
- https://access.jpmorgan.com/appmanager/jpmalogonportal/jpmalogonhome*
- https://commercial.wachovia.com/Online/Financial/Business/Service?action=Login*
- https://commercial.wachovia.com/Online/Registration/jsinclude/bidata.js
- http*www.northerntrust.com/*
- http*www3683.ntrs.com*
- http*www.northerntrust.com/incs/scripts.js
- https://www3683.ntrs.com/ptl/ptl/javascript/NavigationMenuScripts.js*
- https://www8.comerica.com/*
- https://www8.comerica.com/images/sdc.js
- https://direct.bankofamerica.com/Core/servlet/BofaDirect.BankofAmericaDirect.BankofAmericaDirectServlet?page=PgLogin*
- https://direct.bankofamerica.com/BofaDirect/javascript/js.util.uiutils.js*
- https://www.us.hsbc.com/1/2/3/business/online/business-internet-banking/log-on*
- https://www.us.hsbc.com/1/themes/html/hbus_common/HSBC-top_section.js*
- https://www.commercial.hsbc.com.hk/1/2/!ut/p/kcxml/*
- https://www.commercial.hsbc.com.hk/1/themes/html/b2gjs/WT_top_section.js*
- https://www.corporatebanking.firsttennessee.com/cb/servlet/cb/jsp-ns/login.jsp*
- https://internetbanking.firsttennessee.biz/webcm/customer1.asp*
- https://cashmgt.firsttennessee.biz/cb/servlet/cb/login.jsp*
- https://treas-mgt.frostbank.com/rdp/cgi-bin/welcome.cgi*
- https://singlepoint.usbank.com/cs70_banking/logon/sbuser*
- https://singlepoint.usbank.com/cs70_banking/user/script/login.js*
スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。
スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。
- http://{BLOCKED}.38.65/kaziiiman.bin
- http://{BLOCKED}.38.66/kazzaabet.bin
- http://{BLOCKED}dmin.com/kazkakzka.bin
- http://{BLOCKED}lport.com/kazkakakzkk1.bin
- http://{BLOCKED}rn.com/kazkkkkaz.bin
ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。
スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。
- Amazon
- Arvest
- Bank of America
- Bank of FortBend
- Blogger
- CCM
- California Bank & Trust
- Chase
- Chemical Bank
- Citibank
- Citizens
- Citizens Bank
- Columbia Bank Online
- Comerica
- Commerce Bank
- Compass Bank
- East West Bank
- Ebay
- Fifth Third
- First American Bank
- First Bank and Trust
- First Citizens Bank
- First Tennessee
- Flickr
- Frost Bank
- HSBC
- ING Direct
- JP Morgan
- Key Total Treasury
- LiveJournal
- M&T Bank
- Microsoft
- Money Manager
- Myspace
- National City
- NetTeller
- PNC
- Pacific Capital Bank
- PayPal
- Scottrade
- Silicon Valley Bank
- State Employees' Credit Union
- Suffolk County National Bank
- Suntrust
- Synovus
- TD Bank
- US Bank
- Union Bank of California
- United Nations Federal Credit Union
- Wachovia
- Washington Mutual
- Wells Fargo
- YouTube
- iTreasury
情報の送信先
収集された情報は、以下のWebサイトにアップロードされます。
- http://{BLOCKED}4.153.103/kazvine.php
ハッシュ値情報
スパイウェアは、以下のMD5ハッシュ値を含んでいます。
- 4a9346b451096d1fcab5bad493c054a2
スパイウェアは、以下のSHA1ハッシュ値を含んでいます
- 5226a35ac119eb62b7b8b7267b97549df270c807
対応方法
対応検索エンジン: 8.900
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「TSPY_ZBOT.ZBR」で検出したパス名およびファイル名を確認し、メモ等をとってください。
手順 3
Windowsをセーフモードで再起動します。
[ 詳細 ]
手順 4
このレジストリ値を削除します。
[ 詳細 ]
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Privacy
- CleanCookies = 0
- CleanCookies = 0
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {GUID} = {malware path and file name}
- {GUID} = {malware path and file name}
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
- %Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer
- %Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer
手順 5
Internet Explorer（IE）のセキュリティ設定を修正します。
[ 詳細 ]
手順 6
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TSPY_ZBOT.ZBR」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください