TROJ_ZBOT.MLG

2012年10月8日

解析者: Kathleen Notario

別名:

Trojan.Gen, Trojan:Win32/Malagent, Trojan-Spy.Win32.Zbot.atbm, Mal/ZBot-BD

プラットフォーム:

Windows 2000, XP, Server 2003

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

詳細

ファイルサイズ 143,360 bytes

タイプ PE

メモリ常駐はい

発見日 2010年11月9日

ペイロードファイルのダウンロード

侵入方法

スパイウェアは、以下の悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

http://{BLOCKED}nc.asia/t1me/timesync1.exe

インストール

スパイウェアは、以下のフォルダを追加します。

%Application Data%\{random1}
%Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

dwm.exe
rdpclip.exe
ctfmon.exe
wscntfy.exe
taskeng.exe
taskhost.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = %Application Data%\{random1}\{random}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

作成活動

スパイウェアは、以下のファイルを作成します。

%Application Data%\{random1}\{random}.exe
%Application Data%\{random2}\{random}.{random}

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

http://{BLOCKED}nc.asia/t1me/cash1.bin

情報漏えい

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

*.accu.com.au/*
*.adcu.com.au/mvp352/*
*.com.au/DAIB/*
*.cuviewpoint.net/*
*.hbs.net.au/hbsv47/*
*.humebuild.com.au/*
*.netteller.com.au/*
*.qpcu.org.au/myviewpoint/*
*.teacherscreditunion.com.au/*
*.westpac.com.au/*
*union.com.au/*
http*internetbanking.suncorpbank.com.au*
http*online.qccu.com.au/*
http*secure.ampbanking.com/au/Logon*
https://ibs.bankwest.com.au*Balances*
https://ibs.bankwest.com.au/*/DailyLimits*
https://internetbanking.suncorpbank.com.au/*Accounts*
https://internetbanking.suncorpbank.com.au/*DailyLimit*
https://online.mecu.com.au*Balance*
https://online.mecu.com.au* unds*
https://online.westpac.com.au*bpd_pygetdetails*
https://online.westpac.com.au*startpage*
https://online.westpac.com.au/esis/Login/SrvPage*
https://www.bendigobank.com.au/*/ReduceLimitSetup*
https://www.bendigobank.com.au/banking/BBLIBanking*

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

Australian Central Credit Union
Australian Defence Credit Union
Bank of Western Australia
BankNet
Bendigo Bank
Heritage Building Society
HumeBuild
NetTeller
Queensland Country Credit Union
Queensland Police Credit Union
Suncorp Bank
Teachers Credit Union
Union
Westpac

情報収集

スパイウェアは、HTTPポストを介して、収集した情報を以下のURLに送信します。

http://{BLOCKED}nc.asia/t1me/gat3.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

25a50bd32f13b04347fd0ced2c3db667

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

589ff28bb6627e37c5968e90bb1b9726d7e27920

対応方法

対応検索エンジン: 8.900

初回 VSAPI パターンバージョン 7.606.05

初回 VSAPI パターンリリース日 2010年11月9日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

回復コンソールを使用して、TROJ_ZBOT.MLG として検出されるファイルを確認し、削除します。

[ 詳細 ]

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random CLSID}=%Application Data%\{random1}\{random}.exe

手順 4

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TROJ_ZBOT.MLG」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください