Trend Micro Security

TROJ_FRAUDLO.LZ

2012年10月8日
 解析者: Kathleen Notario   
 プラットフォーム:

Windows 2000, XP, Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 システムへの影響:
 情報漏えい:


  • マルウェアタイプ: スパイウェア
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要


スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

  詳細

ファイルサイズ 155,648 bytes
タイプ PE
メモリ常駐 はい
発見日 2009年8月27日
ペイロード 情報収集, ファイルの作成

侵入方法

スパイウェアは、以下の悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

  • http://{BLOCKED}reXQ4F4GG84aIiSomXt.net/panel3/ppnl3.exe

インストール

スパイウェアは、以下のフォルダを追加します。

  • %Application Data%\{random1}
  • %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

  • dwm.exe
  • rdpclip.exe
  • ctfmon.exe
  • wscntfy.exe
  • taskeng.exe
  • taskhost.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = %Application Data%\{random1}\{random}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

作成活動

スパイウェアは、以下のファイルを作成します。

  • %Application Data%\{random1}\{random}.exe
  • %Application Data%\{random2}\{random}.{random}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

  • http://{BLOCKED}face.net/ppnl3.bin

情報漏えい

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

  • *.bankinter.com/www/es-es/cgi/*home*
  • *.bankinter.com/www/es-es/cgi/*integral
  • *.bankinter.com/www/es-es/cgi/ebk+opr*
  • *.ccm.es*
  • *.ccm.es/*inicio_identificacionAAAA*
  • *.deutsche-bank.es*login*
  • *.ingdirect.es*Transactional/faces/views/getClientID*
  • *bancopastor.es/*SrPd*
  • *banesnet.banesto.es*cabeza_bk*
  • *banesnet.banesto.es*dse_nextEventName=start
  • *banesnet.banesto.es*s.bto
  • *banesnet.banesto.es/npage/loginEmpresas*
  • *caixacatalunya.com*/es/ccpublic/*
  • *caixadirecta.cgd.pt*
  • *caixadirecta.cgd.pt/CaixaDirecta/login*
  • *cajaduero.es*
  • *cajaduero.es*microsite*
  • *e-pueyo.com*centro*
  • *e-pueyo.com*opciones*
  • *empresas.santandertotta.pt/canalempresas/finance/login*
  • *grupobanif.pt/xsite_be/BE/home/Autenticacao*
  • *lacajaencasa.cajacanarias.es*identificacion*
  • *lloydstsb.es/VirtualBank/servlet/LoadMenuOperaciones*
  • *online.halifax.es/main*
  • *pastornetempresas.bancopastor.es/SrPd*
  • *priv.activobank7.pt/v10/PT/jsp/privado/loginHomePagePasso2.jsp*
  • *ps://pastornetparticulares.bancopastor.es/*SrPd*
  • *ruralvia.com/isum/Main?ISUM_ID=portlets_area*
  • *s://pastornetempresas.bancopastor.es/SrPd*
  • *soldirecto.cajasoldirecto.es/BEWeb/*
  • *ww3.deutsche-bank.es/*
  • https://bancae.caixapenedes.com*
  • https://bancae.caixapenedes.com/mcpenedesnl/*
  • https://bancopostaimpresaonline.poste.it/bpiol/lastFortyMovementsBalance.do?method=loadLastFortyMovementList*
  • https://banesnet.banesto.es*sugerencias*
  • https://banesnet.banesto.es/*ChannelDriver*
  • https://banking.postbank.de/app/finanzstatus.init.do*
  • https://banking.postbank.de/app/tan.historie.input.do*viewmode=tan
  • https://barclaysnet.barclays.es/servlet/com.ibm.dse.cs.servlet*
  • https://be.bancogallego.es/inithome*
  • https://be.cajamurcia.es/BEWeb/*ps0002m004_0*
  • https://be.cajamurcia.es/BEWeb/*psINICm_0*
  • https://caixagestionempresas.caixagalicia.es/*/inicio_identificacion.action*
  • https://cajacanariasonline.cajacanarias.es/*/inicio_identificacion_portal*
  • https://cajaelectronica.caja-granada.es*inicio_identificacion*
  • https://cajaelectronica.caja-granada.es/BEWeb/*.action*
  • https://ce.caixalaietana.es/BEWeb/2042/2042*_m_COMUN*
  • https://interconnexio*.bibm.ad/GeneralServlet
  • https://interconnexio*.bibm.ad/GeneralServlet?pageOperation=INICIO_WELCOME*
  • https://linea.sanostra.es/*login_identificacion*
  • https://net.kutxa.net/*/tmpl/es/loginkn*
  • https://net24.montepio.pt/Net24-Web/func/login/*
  • https://oficina24hores.caixagirona.es/BEWeb/2030/1030/inicio_identificacion*
  • https://oie.cajamadridempresas.es/CajaMadrid/oie/pt_oie/Login/*
  • https://online.halifax.es/main*
  • https://pastornetempresas.bancopastor.es/*SrPd*
  • https://pastornetempresas.bancopastor.es/EMPBEEMPA_F.jsp?*
  • https://pastornetempresas.bancopastor.es/titEMPBEEMPA*
  • https://pastornetparticulares.bancopastor.es/*SrPd*
  • https://pastornetparticulares.bancopastor.es/BEPBEBEPA_F.jsp
  • https://pastornetparticulares.bancopastor.es/SrPd;jsessionid=*
  • https://pastornetparticulares.bancopastor.es/titBEPBEBEPA*
  • https://seguro.cam.es*SvlHistoricoMovimientosCAM*
  • https://seguro.cam.es*SvlSaldoCAM*
  • https://soldirecto.cajasoldirecto.es/BEWeb/*
  • https://telematic.caixamanlleu.es/ISMC/Manlleu_cat/acceso*
  • https://vitalnet.cajavital.es/BEWeb/*/inicio_identificacion*
  • https://ww3.deutsche-bank.es*NetiServlet*
  • https://www.bancomediolanum.es/*
  • https://www.banesto.es/cs/Satellite*HomeEmpresas*
  • https://www.bankinter.com*
  • https://www.bvi.bancodevalencia.es/inithome*
  • https://www.caixatarragona.es/*/oficinacodigo*
  • https://www.cajaduero.es/CajaElectronica/boxer/*
  • https://www.cajaespana.net/convivencia/servlet/ServletCTRL
  • https://www.empresas.santandertotta.pt/canalempresas/finance/*
  • https://www.empresas.santandertotta.pt/canalempresas/finance/patrimonio/*
  • https://www.finibanco.pt/*/BemVindo.jsp*
  • https://www.gruposantander.es/*
  • https://www.iknet.iparkutxa.es/intro*
  • https://www.lloydstsb.es/VirtualBank/*
  • https://www.lloydstsb.es/VirtualBank/servlet/LoadMenuOperaciones*
  • https://www.ruralvia.com/isum/Main*

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

  • ANZ
  • Banca Pueyo
  • Banco Gallego
  • Banco Mediolanum
  • Banco Pastor
  • Banco de Valencia
  • Banesto
  • Banif
  • Bankinter
  • Barclays
  • CCM
  • Caixa Catalunya
  • Caixa Galicia
  • Caixa Geral de Depósitos
  • Caixa Girona
  • Caixa Laietana
  • Caixa Manlleu
  • Caixa Penedès
  • Caixa Tarragona
  • Caja Canarias
  • Caja Duero
  • Caja España
  • Caja Granada
  • Caja Madrid
  • Caja Murcia
  • Caja Vital
  • Cajasol
  • Deutsche Bank
  • Finibanco
  • Halifax
  • ING Direct
  • Kutxanet
  • Lloyds
  • Montepio
  • Postbank
  • PosteItaliane
  • Ruralvia
  • SA NOSTRA
  • Santander
  • Santander Totta

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

  • http://{BLOCKED}reXQ4F4GG84aIiSomXt.net/panel3/gotobank.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

  • dc52e180db02a44032695574d62b5613

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

  • 3a8e889bae745e845a3048bdfad3d84bc2f2c76c

  対応方法

対応検索エンジン: 8.900
初回 VSAPI パターンバージョン 6.400.02
初回 VSAPI パターンリリース日 2009年8月27日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

回復コンソールを使用して、TROJ_FRAUDLO.LZ として検出されるファイルを確認し、削除します。

[ 詳細 ]

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {random CLSID}=%Application Data%\{random1}\{random}.exe

手順 4

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TROJ_FRAUDLO.LZ」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください