TROJ_ZBOT.BXH

2012年10月8日

解析者: Karl Dominguez

プラットフォーム:

Windows 2000, XP, Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。ユーザが監視サイトのいずれかにアクセスすると、スパイウェアは、キー入力操作情報を収集します。スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

############################################################################################################################################################################################################################################################### スパイウェアは、"Outpost Personal Firewall" および "ZoneLabs Firewall Client" に関連する以下のプロセスの存在を確認します。上記のプロセスのいずれかの存在を確認すると、スパイウェアは、そのプロセスを終了します。これにより、確実に自身を実行します。

詳細

ファイルサイズ不定

メモリ常駐はい

発見日 2010年9月15日

ペイロードファイルのダウンロード, 情報収集, プロセスの強制終了, ファイルおよびプロセスの隠ぺい

感染ポイント

スパイウェアは、以下のWebサイトからダウンロードされたファイルとして、コンピュータに侵入します。

http://{BLOCKED}kovo.ru/cbd/nekovo.exe

インストール

スパイウェアは、＜Windowsシステムフォルダ＞に自身のコピーを作成し、作成したコピーの末尾に判別不可能なコードを追記します。これにより、検出を避けます。作成したコピーには、以下のファイル名が用いられます。

sdra64.exe

スパイウェアは、以下の無害なファイルを作成します。

%System%\lowsec\local.ds - copy of the encrypted downloaded file
%System%\lowsec\user.ds - used to save the gathered information

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

スパイウェアは、以下のフォルダの属性をシステムフォルダおよび隠しフォルダに設定します。これにより、自身のコンポーネントの検出および削除を避けます。

%System%\lowsec

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

_AVIRA_2108
_AVIRA_2109

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

SVCHOST.EXE
WINLOGON.EXE

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Network
UID = "{Computer name}_{Random numbers}"

スパイウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

情報漏えい

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

http://{BLOCKED}o.ru/cbd/nekovo.bri

ユーザが監視サイトのいずれかにアクセスすると、スパイウェアは、キー入力操作情報を収集します。

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

*.microsoft.com/*
*amazon.com*
*blogger.com*
*flickr.com*
*livejournal.com*
*myspace.com*
*youtube.com*
http://*/s/
http://*/u/
http://*myspace.com*
http://facebook.com/*
http://www.facebook.com/*
https://facebook.com/*
https://www.facebook.com/*
@*//ktt.key.com/ktt/cmd/logonFromKeyCom
@*//ktt.key.com/ktt/cmd/validatePinForm
@*//www.svbconnect.com/security/*.do
http*scripts/injScp.js*
http://193.104.41.131/script.js
http://feedback.ebay.com/ws/eBayISAPI.dll?ViewFeedback&*

ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

Amazon
Blogger
Ebay
Facebook
Flickr
Key Total Treasury
Live Journal
Microsoft
Myspace
Silicon Valley Bank
YouTube

情報収集

スパイウェアは、以下のファイル内に収集した情報を保存します。

%System%\lowsec\user.ds

スパイウェアは、HTTPポストを介して、収集した情報を以下のURLに送信します。

http://{BLOCKED}o.ru/kissme/rec.php

その他

スパイウェアは、 Outpost Personal FirewallおよびZoneLabs Firewall Clientに関連する以下のプロセスの存在を確認します。

outpost.exe
zlclient.exe

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

e72500f97e3997bd1710cfd200da4380
d4c5c30074f77a71696aafcf4f441821
9b912bd5b63bcafc0c6f30afffa46473
15dac7d9f71724981b7906787260f790

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

2dc1876b005676167c3ad010de28ae1fcf7238bd
85770db60cfa71e6daffd6ba4ab79d63748a3539
a1dc6bc8dd9189296d929a8dcc0089456f81062f
f84acdbeed63ffd0a9fd6a018e242f6f69fbfa90

対応方法

対応検索エンジン: 8.900

VSAPI パターンファイル: 7.433.00

VSAPI パターンリリース日: 2010年9月2日

VSAPI パターンリリース日: 9/2/2010 12:00:00 AM

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「TROJ_ZBOT.BXH」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

検出ファイルが、Windows のタスクマネージャまたは Process Explorer に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 3

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon
- From: Userinit = %System%\userinit.exe, %System%\sdra64.exe,
  To: Userinit = %System%\userinit.exe,

手順 4

このレジストリ値を削除します。

[ 詳細 ]

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Network
- UID = {Computer name}_{Random numbers}
In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile
- EnableFirewall = 0

手順 5

以下のフォルダを検索し削除します。

[ 詳細 ]

註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。 %System%\lowsec

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TROJ_ZBOT.BXH」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください

TROJ_ZBOT.BXH

概要

詳細

対応方法

関連脆弱性

関連URL