TROJ_DLOADER.ZXY

2013年11月26日

解析者: Kathleen Notario

プラットフォーム:

Windows 2000, XP, Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

詳細

ファイルサイズ 3,010,048 bytes

タイプ EXE

メモリ常駐はい

発見日 2009年8月9日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
dwdiag = %System%\dwdiag.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
Windows Update = %Windows%\winupdat.exe

作成活動

スパイウェアは、以下のファイルを作成します。

%Windows%\kill.bat

(註：%Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

bb.com.br
2.rural.com.br
BRB Banknet
Banco Nossa Caixa
Banco Rural
Banco Santander (Brasil) S.A.
Banco da Amaz
Bem-vindo - PayPal
Bradesco
Bradesco Prime
Citibank
Credicard Citi Portal
HSBC Bank
OiVende
Portal BANCO REAL
Portal Internet Banrisul
Safra Net Banking
Serasa
Unibanco.com - Home
bancoamazonia.com.br/netbanking/
bancobrasil.com.br
banknet.brb.com.br
citigold.com.br
consulta.credd.com.br
hsbc.com.br/ITE/common/html/hsbc-online
http://www.bradesco.com.br/html/content/home/index.shtm
https://pagseguro.uol.com.br/index.jhtml
infobusca.informarketing.com
infoseg.gov.br/infoseg/login_form
internetbanking.caixa.gov.br/SIIBC/
latinamerica.citibank
oivende.com.br/oivende/index.jsp
ork t - login
www.bancoreal.com.br
www.banrisul.com.br
www.bradescoprime.com.br
www.brb.com.br
www.cetelem.com.br/wps/portal/cetelem/normal/NL/login
www.checkcheck.com.br/consultas
www.credicardciti.com.br
www.itau.com.br
www.itaupersonnalite.com.br
www.nossacaixa.com.br
www.orkut.com
www.paypal.com
www.safr net.com.br
www.santander.com.br
www.serasa.com.br
www.sicredi.com.br
www.unibanco.com.br
www2.infoseg.gov.br/infoseg/
www2.infoseg.gov.br/sinivem

偽のログインページは、正規のログインページに重なり、Internet Explorer（IE）ウィンドウの一部であるように装います。偽のログインページは、正規のWebサイトにおいて決まった位置に表示されます。これにより、ユーザはアカウントに関連する個人情報を入力してしまう可能性があります。また、誤って偽ログインページにユーザ名やパスワードを入力した場合、キー入力操作情報が記録されます。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

Banco Itau
Banco Nossa Caixa
Banco Real
Banco Rural
Banco Safra
Banco Santander
Banco da Amaz
Banco da Amazônia
Banco de Brasília
Banco do Brasil
Banrisul
Bradesco
Caixa
Cetelem
Check Check
Citibank
Citigold
Consulta de Crédito
Credicard
HSBC
HSBC Bank
INFOSEG
InfoBusca
OiVende
Orkut
PagSeguro
PayPal
Safra Net
Serasa
Sicredi
Unibanco

情報の送信先

スパイウェアは、収集した情報を以下のＥメールアドレスに送信します。

{BLOCKED}_70@yahoo.com.br

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

35bd9ca88e0b86314050c5bd49485a22

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

dfa00152b7742e0d8ca71d58ee0f03ae3583dcdc

対応方法

対応検索エンジン: 8.900

初回 VSAPI パターンバージョン 6.802.07

初回 VSAPI パターンリリース日 2010年1月25日

VSAPI OPR パターンバージョン 7.491.00

VSAPI OPR パターンリリース日 2010年9月25日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「TROJ_DLOADER.ZXY」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- dwdiag=%System%\dwdiag.exe
In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
- Windows Update=%Windows%\winupdat.exe

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。 %Windows%\kill.bat

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_DLOADER.ZXY」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください