TSPY_ZBOT.ZQU

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 ユーザが監視サイトのいずれかにアクセスすると、スパイウェアは、キー入力操作情報を収集します。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

感染ポイント

スパイウェアは、以下のWebサイトからダウンロードされたファイルとして、コンピュータに侵入します。

• http://{BLOCKED}to.ru/bot2.exe

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe - copy
• %Application Data%\{random2}\{random}.acm - nonmalicious

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{236ECD71-13BD-4EA9-6EDF-B8977BB8CD07} = %Application Data%\{random1}\{random}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• !*/infus.php*
• !*/sindex.php*
• !*Erate/eventreport.asp*
• !*abcjmp.com*
• !*bebo.com*
• !*chat.*
• !*hi5.com
• !*http://musicservices.myspacecdn.com*
• !*love.rambler.ru
• !*mail.ru/cht_data.php
• !*mcafee.com*
• !*mochiads.com
• !*musicservices.myspacecdn.com*
• !*my-etrust.com*
• !*nasza-klasa.pl*
• !*punjabijanta.com/*
• !*scanscout.com*
• !*streamstats1.blinkx.com*
• !http://*.facebook.com*
• !http://*.youblogged.com*
• !http://*activex.microsoft.com*
• !http://*aldautomotive.it*
• !http://*aldpartner.it*
• !http://*bbpeoplemeet.com*
• !http://*blackplanet.com*
• !http://*codecs.microsoft.com*
• !http://*commerceclick.co.uk*
• !http://*crowdstar.com*
• !http://*digi-fast.com*
• !http://*fminutes.us*
• !http://*hotbar.com*
• !http://*liveupdate*
• !http://*loveaccess.com*
• !http://*myspace.com*
• !http://*odnoklassniki.ru*
• !http://*pictureoil.com*
• !http://*seducentemarilena.com*
• !http://*setinternet.com*
• !http://*slide.com*
• !http://*sweetim.com*
• !http://*travian.it*
• !http://*treasuremadness.com*
• !http://*unitybankng-webschool.com*
• !http://*vkontakte.ru*
• !http://*websecurityguard.com*
• !http://*www.fedpolybidaportal.com*
• !http://*yimg.com*
• !http://1*.*.*.*/*
• !http://2*.*.*.*/*
• !http://3*.*.*.*/*
• !http://4*.*.*.*/*
• !http://5*.*.*.*/*
• !http://6*.*.*.*/*
• !http://61.5.156.140*
• !http://7*.*.*.*/*
• !http://8*.*.*.*/*
• !http://9*.*.*.*/*
• !http://downloads.my-etrust.com
• !http://msg.nicovideo.jp*
• !http://win.mail.ru/cgi-bin/movemsg*
• !https://*.facebook.com*
• !https://it.mcafee.com*
• !https://telematici.agenziaentrate.gov.it*
• !https://www.autobus.it*
• !https://www.vodafone.it/*
• *.bancopopolare.it*movimentiConto*
• *.bancopopolare.it/WEBHT/cc/*
• *.businesswaybnl.it*list*
• *.businesswaybnl.it/newcorporate/webcontoc/login/login*
• *.cedacri.it*ReadForm&Login=1*
• *.cedacri.it*openPage&Login*
• *.cim-italia.it/*
• *.gruppocarige.it/vbank/*
• *.isideonline.it/newrelax*
• */FPABODFSingolo?CreateDocument&login=1&id=*&action=*&pswdispo=*
• */HBNET/CONFIGCSS.NSF/risorse/CDN-STYLEDATI/$FILE/Styledati.css?*
• *ib.cim-italia.it/eb/*
• *linksimprese.sanpaoloimi.com/pmiweb*Main*
• *monetaonline.it*
• *poste.it*lastFortyMovementsBalance*
• *poste.it*loadLastFortyMovementList*
• *www.isideonline.it/newrelax*
• *www.linksimprese.sanpaoloimi.com/pmiweb/B*
• *www.linksimprese.sanpaoloimi.com/pmiweb/E*
• *www.linksimprese.sanpaoloimi.com/pmiweb/InformativaContoServlet*
• *www.linksimprese.sanpaoloimi.com/pmiweb/LoggingServlet
• *www.linksimprese.sanpaoloimi.com/pmiweb/bonsct/*
• @*s://*.allianzbank.it/*
• @*s://*.atime.it/*
• @*s://*.bam.it/*
• @*s://*.bancatoscana.it/*
• @*s://*.bpergroup.net/*/login
• @*s://*csebanking.it/*
• @*s://*servizi.bpintra.it*
• @*s://*webank.it/*
• @*s://bancopostaimpresaonline.poste.it/bpiol/lastFortyMovementsBalance.do?method=loadLastFortyMovementList
• @http*://*csebanking.it/LogonEntry?abi=*
• @http*://*csebanking.it/ibportal/*
• @http*://*csebanking.it/ibportal/home-LOGIN_CLIENTE.do*
• htt*://*bper*javascriptz/index.php*
• htt*://*cse*javascriptz/home.js
• htt*://*cse*javascriptz/index.php*
• http://qsponik.com/adm/home.js
• http://qsponik.com/adm/index.php
• http://www.a/it/it.php?getActivo&acc=
• http://www.a/it/it.php?getBall&ask=
• http://www.gybnasa.com/link/it.php?getActivo&acc=
• http://www.gybnasa.com/link/it.php?getBall&ask=
• https://*.bancopopolare.it/WEBHT/cc/*
• https://*.bancopopolare.it/WEBHT/cc/movimentiConto*
• https://ajax.googleapis.com/ajax/libs/jquery/1.3.2/jquery.min.js
• https://ajax.googleapis.com/ajax/libs/jqueryui/1.7.1/jquery-ui.min.js
• https://ajax.googleapis.com/ajax/libs/jqueryui/1.7.1/themes/smoothness/ui.all.css
• https://corporate.bpergroup.net*posizione*
• https://corporate.bpergroup.net/*
• https://corporate.bpergroup.net/bcacamp/images/corporateBanking.gif
• https://corporate.bpergroup.net/bcacamp/images/corporateBanking.gif
• https://hbne*.cedacri.it/*/HOME.NSF/*?CreateDocument&Login=1
• https://hbne*.cedacri.it/*/HOME.NSF/Step2?CreateDocument
• https://hbne*.cedacri.it/HBNET/CONFIG.NSF/risorse/*-MSGALERTLOGON/$FILE/msgalertlogon.html
• https://homebanking.bpergroup.net/*/run*
• https://ib.cim-italia.it/*
• https://www.csebanking.it/ibportal/*Logon.html
• https://www.csebanking.it/ibportal/home-LISTA_MOVIMENTI.do*
• https://www.gbw*.it*RndRapportiSrv*
• https://www.gbw*login*
• https://www.gbw1.it/gbw2.it/gbw3.gif
• https://www.google.com/accounts/ig.gif
• https://www.gruppocarige.it/vbank/*
• https://www.isideonline.it/*
• https://www.linksimprese.sanpaoloimi.com*InfoCCServlet*
• https://www.linksimprese.sanpaoloimi.com/pmiweb/InfoCCServlet
• https://www.linksimprese.sanpaoloimi.com/pmiweb/PresentServlet
• https://www.linksimprese.sanpaoloimi.com/pmiweb/immagini/logo_01010.gif
• https://www.poste.it/online/personale/myposte/*
• https://www.poste.it/resources/images/body/logoposte.gif

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}to.ru/a.bin
• http://{BLOCKED}st.ru/b.bin
• http://{BLOCKED}lie.ru/c.bin
• http://{BLOCKED}e.ru/d.bin
• http://{BLOCKED}v.ru/e.bin
• http://{BLOCKED}ter.ru/f.bin
• http://{BLOCKED}rq.ru/g.bin
• http://{BLOCKED}w.ru/a.bin
• http://{BLOCKED}e.ru/b.bin

ユーザが監視サイトのいずれかにアクセスすると、スパイウェアは、キー入力操作情報を収集します。

なお、このファイルの内容である監視Webサイトのリストは、常時変更されます。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• ANZ
• BBPeopleMeet
• Bebo
• Black Planet
• CA
• Facebook
• Gruppo Carige
• Hi5
• Iside
• Love Access
• McAfee
• Microsoft
• Moneta
• Myspace
• Odnoklassniki
• PosteItaliane
• SEB
• Vkontakte
• Web School

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}to.ru/1.php

その他

解析の結果、スパイウェアによるバックドア活動は確認されませんでした。

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 57cd3ea9f10c7e1e79e23a24677a2007

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 17c0cf376d2dcc9bda73f3790e393317b6fe2bc1