• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_BANKER.IOR

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。 マルウェアは、特定のWebサイトに誘導します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %Windows%\diabolick

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
Ati2vexx = %Windows%\diabolick\rndll.exe

マルウェアは、以下のファイルを作成します。

• %Windows%\diabolick\rndll.exe - copy of itself
• %Windows%\diabolick\update.txt - non malicious
• %Windows%\diabolick\hosts.txt - contains the downloaded hosts file
• %Windows%\diabolick\tempo.txt - non malicious file

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}p.datahouse.com.br
• http://{BLOCKED}rmolowich.com/images/hosts.txt
• http://{BLOCKED}rmolowich.com/images/timer.txt

HOSTSファイルの改変

マルウェアは、コンピュータのHOSTSファイルを改変します。これにより、ユーザは、以下のWebサイトにアクセスすると、別のWebサイトに誘導されます。

• www.bancopaulista.com.br
• bancopaulista.com.br
• www.citibank.com.br
• citibank.com.br
• www.citibank.com
• citibank.com
• www.bradesco.com.br
• bradesco.com.br
• bradesco.com.br
• www.bb.com.br
• bb.com.br
• www.bancobrasil.com.br
• bancobrasil.com.br
• www.bancodobrasil.com.br
• bancodobrasil.com.br
• www.itau.com.br
• itau.com.br
• www.bancoitau.com.br
• bancoitau.com.br
• www.itaupersonnalite.com.br
• itaupersonnalite.com.br
• internetbanking.caixa.gov.br
• www.unibanco.com.br
• unibanco.com.br
• www.unibanco.com
• unibanco.com
• www.caixa.com.br
• www.caixa.gov.br
• www.caixaeconomica.com.br
• www.caixaeconomica.gov.br
• www.caixaeconomicafederal.com.br
• www.caixaeconomicafederal.gov.br
• www.cef.com.br
• www.cef.gov.br
• caixa.com.br
• caixa.gov.br
• caixaeconomica.com.br
• caixaeconomica.gov.br
• caixaeconomicafederal.com.br
• caixaeconomicafederal.gov.br
• cef.com.br
• cef.gov.br
• www.bancoreal.com.br
• bancoreal.com.br
• www.santander.com.br
• santander.com.br
• www.santandernet.com.br
• santandernet.com.br
• www.banrisul.com.br
• banrisul.com.br
• www2.americanexpress.com.br
• www.americanexpress.com.br
• americanexpress.com.br
• www.americanexpress.com
• americanexpress.com
• www.submarino.com.br
• submarino.com.br
• www.netcerto.com.br
• netcerto.com.br
• www.americanas.com.br
• americanas.com.br
• www.comprafacil.com.br
• comprafacil.com.br
• www.shoptime.com.br
• shoptime.com.br
• www.cielo.com.br
• www.visanet.com.br
• visanet.com.br
• cielo.com.br
• www.bvfinanceira.com.br
• bvfinanceira.com.br

マルウェアは、WindowsのHOSTSファイルに以下の文字列を追加します。

• {BLOCKED}.{BLOCKED}.213.91 www.bancopaulista.com.br
• {BLOCKED}.{BLOCKED}.213.91 bancopaulista.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.citibank.com.br
• {BLOCKED}.{BLOCKED}.213.91 citibank.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.citibank.com
• {BLOCKED}.{BLOCKED}.213.91 citibank.com
• {BLOCKED}.{BLOCKED}.213.91 www.bradesco.com.br
• {BLOCKED}.{BLOCKED}.213.91 bradesco.com.br
• {BLOCKED}.{BLOCKED}.213.91 bradesco.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.bb.com.br
• {BLOCKED}.{BLOCKED}.213.91 bb.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.bancobrasil.com.br
• {BLOCKED}.{BLOCKED}.213.91 bancobrasil.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.bancodobrasil.com.br
• {BLOCKED}.{BLOCKED}.213.91 bancodobrasil.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.itau.com.br
• {BLOCKED}.{BLOCKED}.213.91 itau.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.bancoitau.com.br
• {BLOCKED}.{BLOCKED}.213.91 bancoitau.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.itaupersonnalite.com.br
• {BLOCKED}.{BLOCKED}.213.91 itaupersonnalite.com.br
• {BLOCKED}.{BLOCKED}.213.91 internetbanking.caixa.gov.br
• {BLOCKED}.{BLOCKED}.213.91 www.unibanco.com.br
• {BLOCKED}.{BLOCKED}.213.91 unibanco.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.unibanco.com
• {BLOCKED}.{BLOCKED}.213.91 unibanco.com
• {BLOCKED}.{BLOCKED}.213.91 www.caixa.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.caixa.gov.br
• {BLOCKED}.{BLOCKED}.213.91 www.caixaeconomica.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.caixaeconomica.gov.br
• {BLOCKED}.{BLOCKED}.213.91 www.caixaeconomicafederal.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.caixaeconomicafederal.gov.br
• {BLOCKED}.{BLOCKED}.213.91 www.cef.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.cef.gov.br
• {BLOCKED}.{BLOCKED}.213.91 caixa.com.br
• {BLOCKED}.{BLOCKED}.213.91 caixa.gov.br
• {BLOCKED}.{BLOCKED}.213.91 caixaeconomica.com.br
• {BLOCKED}.{BLOCKED}.213.91 caixaeconomica.gov.br
• {BLOCKED}.{BLOCKED}.213.91caixaeconomicafederal.com.br
• {BLOCKED}.{BLOCKED}.213.91 caixaeconomicafederal.gov.br
• {BLOCKED}.{BLOCKED}.213.91 cef.com.br
• {BLOCKED}.{BLOCKED}.213.91 cef.gov.br
• {BLOCKED}.{BLOCKED}.213.91 www.bancoreal.com.br
• {BLOCKED}.{BLOCKED}.213.91 bancoreal.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.santander.com.br
• {BLOCKED}.{BLOCKED}.213.91 santander.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.santandernet.com.br
• {BLOCKED}.{BLOCKED}.213.91 santandernet.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.banrisul.com.br
• {BLOCKED}.{BLOCKED}.213.91 banrisul.com.br
• {BLOCKED}.{BLOCKED}.213.91 www2.americanexpress.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.americanexpress.com.br
• {BLOCKED}.{BLOCKED}.213.91 americanexpress.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.americanexpress.com
• {BLOCKED}.{BLOCKED}.213.91 americanexpress.com
• {BLOCKED}.{BLOCKED}.213.91 www.submarino.com.br
• {BLOCKED}.{BLOCKED}.213.91 submarino.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.netcerto.com.br
• {BLOCKED}.{BLOCKED}.213.91 netcerto.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.americanas.com.br
• {BLOCKED}.{BLOCKED}.213.91 americanas.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.comprafacil.com.br
• {BLOCKED}.{BLOCKED}.213.91 comprafacil.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.shoptime.com.br
• {BLOCKED}.{BLOCKED}.213.91 shoptime.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.cielo.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.visanet.com.br
• {BLOCKED}.{BLOCKED}.213.91 visanet.com.br
• {BLOCKED}.{BLOCKED}.213.91 cielo.com.br
• {BLOCKED}.{BLOCKED}.213.91 www.bvfinanceira.com.br
• {BLOCKED}.{BLOCKED}.213.91 bvfinanceira.com.br

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}p.datahouse.com.br
• http://{BLOCKED}rmolowich.com/images/hosts.txt - contains strings for hosts file modification
• http://{BLOCKED}molowich.com/images/timer.txt

マルウェアは、以下のWebサイトに誘導します。

• {BLOCKED}.{BLOCKED}.213.91

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください