TROJ_BANKER.SCR
WebWasher: BlockReason.46 (suspicious)
Windows 2000, Windows XP, Windows Server 2003
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
これは、不正なDLLファイルです。マルウェアは、Internet Explorer （IE）のアドレスバーをモニターし、ユーザが特定の文字列を含むWebサイトにアクセスするかどうかを監視します。
マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。
マルウェアは、ダウンロードしたファイルを実行します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。
マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。
- TROJ_DLOADR.SCR
自動実行方法
マルウェアは、以下のレジストリ値を追加し、自身をBrowser Helper Object（BHO）として登録します。これにより、Internet Explorer（IE）が起動するとマルウェアが自動実行されます。
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
CLSID\{FFADDC14-BA46-4A8A-984A-ADBE1C6D37EA}\InProcServer32
@ = {malware path and file name}.DLL
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Browser Helper Objects\{FFADDC14-BA46-4A8A-984A-ADBE1C6D37EA}
ダウンロード活動
マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- %Windows%\inf\update.exe - detected as TSPY_ZBOT.TOL
(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)
マルウェアは、ダウンロードしたファイルを実行します。
その他
マルウェアは、不正なDLLファイルです。マルウェアは、Internet Explorer （IE）のアドレスバーをモニターし、ユーザが以下の文字列を含むWebサイトにアクセスするかどうかを監視します。
- /EBC_EBC1961
- /ebc_ebc1961
- commercial.wachovia.com
- wc.wachovia.com
- wcp.wachovia.com
- chsec.wellsfargo.com
- wellsoffice.wellsfargo.com
- ceowt.wellsfargo.com
- wellsnet.wellsfargo.com
- treasury.pncbank.com
- infoplus.mandtbank.com
- webbankingforbusiness.mandtbank.com
- gateway.firstbanks.com
- capitalonebank.com
- businessonline.huntington.com
- .53.com
- singlepoint.usbank.com
- directline4biz.com/bbwflow1
- directline4biz.com
- ctreporter.coletaylor.com
- thebeneficial-corpbank.com
- treasurydirect.soc.tdbank.com
- netconnect.bokf.com
- e-access.compassbank.com
- direct.bankofamerica.com
- businessaccess.citibank.citigroup.com
- bbvanetcash.com
- cashproonline.bankofamerica.com
- treasurypro.umpquabank.com
- bob.sovereignbank.com
- citizensbankmoneymanagergps.com
- citizensbankonline.com
- netteller.com
- commercial.bnc.ca
- intrusttreasury.com
- salesforce.com
- cityntl.webcashmgmt.com
- eastwestbank.webcashmgmt.com
- ffce.webcashmgmt.com
- onb.webcashmgmt.com
- webcashmgmt.com
- manufacturers.web-access.com
- mgt.frostbank.com
- web-access.com
- secureinternetbank.com/WebCaptureWeb
- hsbcnet.com
- scotiabank.com
- enterprise2.openbank.com
- tdcommercialbanking
- tdcecorp.com
- ucbecorp.com
- commbank.com.au
- comerica.com
- bankwest.com.au
- nab.com.au
- treasuryservices
- banknow.
- texascapitalbank.com
- wcb.com
- tmcb.zionsbank.com
- secure-eccu.org
- goldleafach.com
- bpna.webcashmanager.com
- huntington.enterprisebanker.com
- sterlingbank.enterprisebanker.com
- integrabank.enterprisebanker.com
- fnfgbusinessonline.enterprisebanker.com
- republicbank.enterprisebanker.com
- wcma.businesscenter.ml.com
- nhsb.wblnk.com
- otm.suntrust.com
- businessportal.mibank.com
- tcfexpressbusiness.com
- mibusinessonlinebanking.ebanking-services.com
- peoplesunited.ebanking-services.com
- firstbusiness.ebanking-services.com
- citidirect-eb.citicorp.com
- ktt.key.com
- ktt4c.key.com
- kbo.key.com
- access.jpmorgan.com
- tssportal.jpmorgan.com
- srvc2.jpmorgan.com
- srvc1.jpmorgan.com
- banquepopulaire.fr
- credit-agricole.fr
- onesource.ubs.com
- onlineserv/CM
- directnet.com
- direct.db.com
- businessbankingcenter.synovus.com
- cashman.arvest.com
- secure.fundsxpress.com
- www.business.barclays.co.uk
- dzbank.de
- combnk.com
- sso.usbib.net.hsbc.com
- smbc.co.jp
- auth.carolinetools.com
- etreasury.carolinetools.com
- businessnet.bankaustria.at
- online.bankaustria.at
- corporateconnect.net
- e-moneyger.com
- sso.unionbank.com
- cmserver
- /wire
- cashm
- treasury
- direct.bank
- webcm
- business
- /admin/
- goldleaf
- wires
- ebanking-services.com
- megabank
- royalbank.com
- rbc.com
- rbc.ca
- businessbank
- westernunion
- frostbank
マルウェアは、上記のいずれかの文字列を含むWebサイトを確認した場合、以下のいずれかのWebサイトにアクセスし、不正なファイルをダウンロード、実行します。
- http://www.{BLOCKED}ellphotos.com/images/img_49jfdnmgudfg.jpg
- http://www.{BLOCKED}i.com/img_49jfdnmgudfg.jpg
- http://{BLOCKED}ling.com/img_49jfdnmgudfg.jpg
- http://www.{BLOCKED}osshrco.org/img_49jfdnmgudfg.jpg
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
この「TROJ_BANKER.SCR」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した場合は削除してください。
- TSPY_ZBOT.TOL
手順 3
このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「TROJ_BANKER.SCR」で検出したパス名およびファイル名を確認し、メモ等をとってください。
手順 4
このレジストリキーを削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID
- {FFADDC14-BA46-4A8A-984A-ADBE1C6D37EA}
- {FFADDC14-BA46-4A8A-984A-ADBE1C6D37EA}
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects
- {FFADDC14-BA46-4A8A-984A-ADBE1C6D37EA}
手順 5
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_BANKER.SCR」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 6
「TROJ_BANKER.SCR」として検出されたファイルを検索し削除します。
ご利用はいかがでしたか？ アンケートにご協力ください