• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_BUKC.B

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、作成されたファイルを実行します。

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\Tcp_IP.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
(Default) = %Windows%\Tcp_IP.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Tcp_IP

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = 0

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\drivers\regtoro.sys - detected as TSPY_BANKER.ROZ

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、作成されたファイルを実行します。

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• Banrisul - Internet Explorer
• Portal Internet Banrisul
• [bb.com.br] - Mozilla Firefox
• http://www.bb.com.br/portalbb/home
• http://www.bradesco.com.br/
• http://www.itaupersonnalite.com.br/index.jsp
• http://www.itauprivatebank.com.br/privatebank/default.aspx
• http://www.santander.com.br
• htt ://www.serasa.com.br/
• http://www.serasaexperian.com.br/
• https://internetbanking.caixa.gov.br/SIIBC/index.processa
• https://internetbanking.caixa.gov.br/SIIBC/siwinCtrl
• https://www.caixa.gov.br/_newredirect/barra/r_IBC.asp
• https://www.cetelem.com.br/wps/portal/cetelem/normal/NL/login
• https://www2.bancobrasil.com.br/aapf/login.jsp?aapf.IDH=sim&perfil=1
• https://wwwss.bradesco.com.br/scripts/ib2k1.dll/LOGIN?AGN=

偽のログインページは、正規のログインページに重なり、Internet Explorer（IE）ウィンドウの一部であるように装います。偽のログインページは、正規のWebサイトにおいて決まった位置に表示されます。これにより、ユーザはアカウントに関連する個人情報を入力してしまう可能性があります。また、誤って偽ログインページにユーザ名やパスワードを入力した場合、キー入力操作情報が記録されます。

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Banco Itau
• Banco Santander
• Banco do Brasil
• Banrisul
• Bradesco
• Caixa
• Cetelem
• Serasa

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://members.{BLOCKED}ania.co.uk/mundodasmaquinas/Sabado.php

情報の送信先

マルウェアは、収集した情報を以下のＥメールアドレスに送信します。

• {BLOCKED}rtadorasiqueira@gmail.com
• {BLOCKED}ortadoranortesul@gmail.com

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• 17bdd4c3a38765d950318a7650f53d82

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• 43b2af108122c342a072010cadedd032b1eece23

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください