Trend Micro Security

TROJ_VILSEL.AE

2012年10月8日
 解析者: Kathleen Notario   
 プラットフォーム:

Windows 2000, XP, Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要


マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

  詳細

ファイルサイズ 1,926,656 bytes
タイプ EXE
メモリ常駐 はい
発見日 2009年10月8日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\WindowsUpdate\
ServiceWinlogom

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
RunInvalidSignatures = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = 1

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Download
CheckExeSignatures = no

(註：変更前の上記レジストリ値は、「yes」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

  • %System%\NOVAINFECCAO.log

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

  • BRB Banknet
  • Banco Bradesco S.A.
  • Banco Santander S.A.
  • Banco do Brasil S.A.
  • Banrisul
  • Caixa Economica Federal S.A.
  • HSBC BANK BRASIL S.A.
  • HSBC InternetBanking
  • Itau Bankline
  • http://authmail.ibest.com.br/Autenticacao/autenticacao
  • http://authmail.ig.com.br/Autenticacao/autenticacao
  • http://webmail.globo.com/LoginWebmail/autenticarUsuario.ssp
  • http://www.bancobva.com.br/areas/publico/pagp/default.asp
  • http://www.bancofator.com.br/far/minhaconta.aspx
  • http://www.bancopaulista.com.br/PaulistaHB/Default.asp
  • http://www.bep.com.br/IBanking/principal.php?a=login
  • http://www.besc.com.br
  • http://www.besinvestimento.com.br/Default.aspx
  • http://www.caixa.gov.br/#
  • http://www.caixa.gov.br/_newredirect
  • http://www.fininvest.com.br
  • http://www.fininvest.com.br/hom/index.asp
  • http://www.itauprivatebank.com.br/privatebank/index.htm
  • http://www.mclass.com.br/scripts/mclass.dll/
  • http://www.santander.com.br/
  • http://www.spc.com.br/si/servlet/hlogin
  • http://www2.paranabanco.com.br/Franquia/Franqueado.aspx
  • https://bankline.itau.com.br/
  • https://bankline.itau.com.br/GRIPNET/bklcom.dll
  • https://bankline.itau.com.br/GRIPNET/gracgi.exe
  • https://bankline.itau.com.br/lgnet/cartonista/bankline.htm
  • https://bankline.itau.com.br/lgnet/itauf/bankline.htm
  • https://banklineplus.itau.com.br/GRIPNET/bklcgi.exe
  • https://banknet.brb.com.br/iBanking/
  • https://bcadirecto.bca.cv/
  • https://bcadirectoempresas.bca.cv/
  • https://binanet.bi.cv/Login.asp
  • https://binanetempresas.bi.cv/Login.asp
  • https://br.credit-suisse.com/Default.aspx
  • https://caixanetparticulares.caixa.cv/Login.asp
  • https://carrinho.americanas.com.br/portal/acom.portal?_nfpb=true&
  • https://carrinho.americanas.com.br/portal/acom.portal?_nfpb=true&portlet_payment_actionOverride=%2Fportlets%2Fpayment%2FchoosePaymentMethodAction&_windowLabel=portlet_payment
  • https://carrinho.americanas.com.br/portal/meuCadastro.portal?_nfpb=true&LoginControllerPortlet_actionOverride=%2Fportlets%2Fcustomer%2Flogin%2FenderecoPesquisarPorCep&_windowLabel=LoginControllerPortlet
  • https://carrinho.shoptime.com.br/portal/shoptime.portal?_nfpb=true&portlet_payment_actionOverride=%2Fportlets%2Fpayment%2FcreditCardValidateAction&_windowLabel=portlet_payment
  • https://chaseonline.chase.com/online/AgentFCCServlet
  • https://conexao.fininvest.com.br
  • https://conexao.fininvest.com.br/index.asp
  • https://consulta.equifax.com.br/menu.asp
  • https://ibk.banparanet.com.br/ibban/htm/pj_acesso.htm
  • https://ibpf.unibanco.com.br/unicard/
  • https://internetbanking.caixa.gov.br/
  • https://internetbanking.caixa.gov.br/SIIBC/siwinCtrl
  • https://itaubankline.itau.com.br/
  • https://itaubankline.itau.com.br/GRIPNET/bklcom.dll
  • https://login.live.com/ppsecure/post.srf?
  • https://nel.bnb.gov.br/
  • https://netbanking.brp.com.br/NetBanking/c_brp.asp?acao=Logon
  • https://netbanking2.banespa.com.br/
  • https://portal.credicardciti.com.br/wps/ControllerBaseServlet
  • https://segura.besc.com.br/cwsasp/cwsn.asp
  • https://segura.besc.com.br/cwsasp/cwsn.asp/
  • https://servicos.fininvest.com.br
  • https://servicos.spc.org.br/pls/spc9765/spcindex.html
  • https://servicos.spc.org.br/spc/controleacesso/autenticacao/passphrase.action
  • https://sitenet.serasa.com.br/Logon/Logon
  • https://smail-mia.terra.com.br/atmail.php?ret
  • https://smail.terra.com.br/atmail.php?ret
  • https://smu.jpmorgan.com/siteminderagent/forms/smu/gcp/login.fcc?
  • https://wealth.goldman.com/login/login_b.cgi
  • https://webid2.gs.com/cgi-bin/external/authenticate.cgi
  • https://ww8.banrisul.com.br/brb/default.htm
  • https://ww8.banrisul.com.br/brb/link/BrbwE0hw_MsgDialog.aspx
  • https://www.bancogmac.com.br/homebank/logon.do
  • https://www.bbmnetbanking.com.br/evhtml.cgi?FrmNumConta
  • https://www.ccfacil.com.br/Login.asp?
  • https://www.edivan.com.br/CtrlAcesso_geral.asp
  • https://www.extra.com.br/Pagamento/infoComplementarFormaPagamento.aspx
  • https://www.febraban.org.br/default.asp
  • https://www.fs.ml.com/login/Login.asp?site=MLOL
  • https://www.google.com/accounts/ServiceLoginAuth?service=
  • https://www.indusval.com.br/tbib/ib_MICROSOFT.php
  • https://www.intlmlol.ml.com/logon/logon.exe
  • https://www.latinamerica.citibank.com/BRGCB/JSO/signon/ProcessUsernameSignon.do
  • https://www.latinamerica.citibank.com/BRGCB/LATAM/common/AccountInfo.do
  • https://www.latinamerica.citibank.com/BRGCB/jba/mp6/SubmitRecap.do
  • https://www.magazineluiza.com.br/Seguro/caixa/ins_caixa.asp
  • https://www.opportunity.com.br/Servicos/Login.aspx?
  • https://www.paodeacucar.com.br/pagamento/processaFechamento.asp
  • https://www.pontofrio.com.br/cgi-bin/loja_segura.pl
  • https://www.prospertrade.com.br/acesso_cliente.asp
  • https://www.santandernet.com.br/EfetuarLogin_Intermediaria_New.asp
  • https://www.santandernet.com.br/IBPF/Home.asp
  • https://www.santandernet.com.br/IBPF/LoginEscolhaUsuarios.asp
  • https://www.santandernet.com.br/IBPF/transacoes/MPS/mps_WinXP.asp
  • https://www.santandernet.com.br/IBPF/transacoes/MPS/mps_WinXpInf.asp
  • https://www.santandernet.com.br/IBPF_Logout.asp
  • https://www.santandernet.com.br/default.asp?txtAgencia=
  • https://www.santandernet.com.br/logout.asp?oG=u&oA=site
  • https://www.santandernet.com.br/paginas/CRM/Processa.asp
  • https://www.tam.com.br/b2c/jsp/EfetuarPagamentoCCredito.jhtml
  • https://www.tribancoonline.com.br/tribancoib/servlet/SvLogin
  • https://www2.abcbrasil.com.br/ABCBanking/acesso/Login.aspx
  • https://www2.bancobrasil.com.br/aapf/login.jsp?aapf.IDH=sim
  • https://www2.bancobrasil.com.br/aapf/login.jsp?aapf.IDH=sim&perfil=1
  • https://www2.bnpparibas.com.br/psso/WAgent.dll?Login0
  • https://www2.extra.com.br/Usuario/Cadastro.aspx?userType=F&ReturnUrl=https://www2.extra.com.br/Pagamento/ListaEnderecos.aspx?Next=Pagamento.aspx
  • https://www2.infoseg.gov.br/infoseg/do/TecladoVirtualAction
  • https://www2.rural.com.br/RuralIBank/principal.jsp
  • https://www2.rural.com.br/RuralIBank/validaLogin.jsp
  • https://www2.rural.com.br/RuralIBank/validaSenha.jsp
  • https://www2.submarino.com.br/Payment.aspx
  • https://wwws.alfanet.com.br/Transacional/rdr_validacao.asp?
  • https://wwws.bancoamazonia.com.br/prelogin.asp?
  • https://wwws.banese.com.br/netbanking
  • https://wwws.banese.com.br/netbanking/servlet
  • https://wwws.banese.com.br/netbanking/servlet/Conf
  • https://wwws.banese.com.br/netbanking/servlet/ConsDocEletronico
  • https://wwws.banese.com.br/netbanking/servlet/ConsPagtoConv
  • https://wwws.banese.com.br/netbanking/servlet/Login
  • https://wwws.banestes.com.br/cgi-bin/Login
  • https://wwws.gravames.com.br/gravames/
  • https://wwws.nossacaixa.com.br/CarregarConta.asp
  • https://wwws.nossacaixa.com.br/bemvindo.asp
  • https://wwws2.hsbc.com.br/
  • https://wwws3.hsbc.com.br/
  • https://wwws3.hsbc.com.br/HOB-MEUHSBC/servlets/LoginMeuHSBC
  • https://wwws3.hsbc.com.br/HOB-MEUHSBC/servlets/LoginMeuHSBC?CPF=
  • https://wwws3.hsbc.com.br/HOB-MEUHSBCAPP/servlets/RedirectMeuHSBC?fin=0&trans=MHERF01&ServletState=50&LinkExecucao=/HOB-CCORRENTE
  • https://wwws3.hsbc.com.br/HOB-MEUHSBCAPP/servlets/ServletMeuHSBC?ServletState=0
  • https://wwws3.hsbc.com.br/HOB-MEUHSBCAUX/servlets/LogoutMeuHSBC?urlRedirect=/HOB/logincrm/meuhsbc/logout.html?
  • https://wwws5.hsbc.com.br/
  • https://wwwss.bradesco.com.br/scripts/ib2k1.dll/LOGIN
  • https://wwwss.bradesco.com.br/scripts/ib2k1.dll/TAC/ENTRADASENHA?CTL
  • https://wwwss.bradesco.com.br/scripts/ib2k1.dll/TAC/VRFSENHAATUAL

偽のログインページは、正規のログインページに重なり、Internet Explorer（IE）ウィンドウの一部であるように装います。偽のログインページは、正規のWebサイトにおいて決まった位置に表示されます。これにより、ユーザはアカウントに関連する個人情報を入力してしまう可能性があります。また、誤って偽ログインページにユーザ名やパスワードを入力した場合、キー入力操作情報が記録されます。

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

  • Alfa Net
  • BCA Directo
  • BES Investimento
  • BESC
  • BNP Paribas
  • BRB Banknet
  • Banco ABC Brasil
  • Banco BBM
  • Banco BVA
  • Banco Bradesco
  • Banco Fator
  • Banco GMAC
  • Banco Indusval
  • Banco Interatlântico
  • Banco Itau
  • Banco Paulista
  • Banco Rural
  • Banco Santander
  • Banco da Amazônia
  • Banco do Brasil
  • Banese
  • Banespa
  • Banestes
  • Banparanet
  • Banrisul
  • Caixa
  • Caixa Economica Federal
  • Chase
  • Citibank
  • Credicard Citi
  • Credit Suisse
  • EDIVAN
  • Equifax
  • Federação Brasileira de Bancos
  • Fininvest
  • Goldman
  • HSBC
  • INFOSEG
  • JP Morgan
  • Magazine Luiza
  • Nossa Caixa
  • PontoFrio
  • Prosperatrade
  • Pão de Açúcar
  • Serasa
  • Tribanco
  • Unibanco

情報の送信先

マルウェアは、収集した情報を以下のＥメールアドレスに送信します。

  • {BLOCKED}ed@uol.com.br
  • {BLOCKED}na.fm@terra.com.br
  • {BLOCKED}noschuch@terra.com.br
  • {BLOCKED}ia-araujo@uol.com.br
  • {BLOCKED}@oticasopcao.com
  • {BLOCKED}00000001@hotmail.com.br
  • {BLOCKED}00000002@hotmail.com.br
  • {BLOCKED}00000003@hotmail.com.br
  • {BLOCKED}piedade@oticasopcao.com
  • {BLOCKED}io@oticasopcao.com
  • {BLOCKED}n@oticasopcao.com
  • {BLOCKED}@oticasopcao.com
  • {BLOCKED}@oticasopcao.com
  • {BLOCKED}lessa@terra.com.br
  • {BLOCKED}afrigo@terra.com.br
  • {BLOCKED}filho@terra.com.br
  • {BLOCKED}@oticasopcao.com
  • {BLOCKED}ldo@utranet.com.br
  • {BLOCKED}a@oticasopcao.com
  • {BLOCKED}@oticasopcao.com
  • {BLOCKED}e@oticasopcao.com
  • {BLOCKED}carara@terra.com.br
  • {BLOCKED}olesta@terra.com.br
  • {BLOCKED}e@oticasopcao.com
  • {BLOCKED}@terra.com.br
  • {BLOCKED}machiness@gmail.com
  • {BLOCKED}dolfo@terra.com.br
  • {BLOCKED}im@oticasopcao.com
  • {BLOCKED}oticasopcao.com
  • {BLOCKED}ro@oticasopcao.com
  • {BLOCKED}@oticasopcao.com
  • {BLOCKED}ne@oticasopcao.com
  • {BLOCKED}arasantos@oticasopcao.com
  • {BLOCKED}da@oticasopcao.com
  • {BLOCKED}@oticasopcao.com
  • {BLOCKED}oticasopcao.com
  • {BLOCKED}aoliveira@oticasopcao.com
  • {BLOCKED}na@oticasopcao.com
  • {BLOCKED}i026@terra.com.br
  • {BLOCKED}@terra.com.br
  • {BLOCKED}ssc@oticasopcao.com
  • {BLOCKED}s@oticasopcao.com
  • {BLOCKED}roberto@oticasopcao.com
  • {BLOCKED}cao@oticasopcao.com
  • {BLOCKED}eis@oticasopcao.com
  • {BLOCKED}o@oticasopcao.com
  • {BLOCKED}ne@oticasopcao.com
  • {BLOCKED}l@oticasopcao.com
  • {BLOCKED}terra.com.br
  • {BLOCKED}o.rh@oticasopcao.com
  • {BLOCKED}o@oticasopcao.com
  • {BLOCKED}r@oticasopcao.com

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

  • 57b84dbf1e32261afab3827bbe6f2d57

マルウェアは、以下のSHA1ハッシュ値を含んでいます

  • c097986fda09dbfd75b3ab47d105cb5614ad7bc6

  対応方法

対応検索エンジン: 8.900
初回 VSAPI パターンバージョン 6.521.00
初回 VSAPI パターンリリース日 2009年10月8日
VSAPI OPR パターンバージョン 7.491.00
VSAPI OPR パターンリリース日 2010年9月25日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「TROJ_VILSEL.AE」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

  • 検出ファイルが、Windows のタスクマネージャまたは Process Explorer に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
    セーフモードについては、こちらをご参照下さい。
  • 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download
    • RunInvalidSignatures=1
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center
    • FirewallDisableNotify=1

手順 4

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

 
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate
    • ServiceWinlogom

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Download
    • From: CheckExeSignatures=no
      To: yes

手順 6

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System%\NOVAINFECCAO.log

手順 7

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_VILSEL.AE」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください