• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_BANKER.MNE

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、作成されたファイルを実行します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\Tcp_IP.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
(default) = %Windows%\Tcp_IP.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Tcp_IP

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = 0

作成活動

スパイウェアは、以下のファイルを作成します。

• %Windows%\USBS.log - non-malicious file
• %System%\drivers\regtoro.sys - detected as TSPY_BANKER.ROZ

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

スパイウェアは、作成されたファイルを実行します。

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• Banrisul - Internet Explorer
• Portal Internet Banrisul
• [bb.com.br] - Mozilla Firefox
• http://www.bb.com.br/portalbb/home23,116,116,1,1,1,1.bb
• http://www.bradesco.com.br/
• http://www.itau.com.br/
• http://www.itaupersonnalite.com.br/index.jsp
• http://www.itauprivatebank.com.br/privatebank/default.aspx
• http://www.santander.com.br
• http://www.ser saexperian.com.br/
• https://internetbanking.caixa.gov.br/SIIBC/index.processa
• https://internetbanking.caixa.gov.br/SIIBC/siwinCtrl
• https://www.caixa.gov.br/_newredirect/barra/r_IBC.asp
• https://www.cetelem.com.br/wps/portal/cetelem/normal/NL/login
• https://www2.bancobrasil.com.br/aapf/login.jsp?aapf.IDH=sim&perfil=1
• https://wwwss.bradesco.com.br/scripts/ib2k1.dll/LOGIN?AGN=

偽のログインページは、正規のログインページに重なり、Internet Explorer（IE）ウィンドウの一部であるように装います。偽のログインページは、正規のWebサイトにおいて決まった位置に表示されます。これにより、ユーザはアカウントに関連する個人情報を入力してしまう可能性があります。また、誤って偽ログインページにユーザ名やパスワードを入力した場合、キー入力操作情報が記録されます。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Banco Itau
• Banco Santander
• Banco do Brasil
• Banrisul
• Bradesco
• CAIXA
• Cetelem
• Serasa Experian

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}ts.dominiotemporario.com/infect.php
• http://www.{BLOCKED}acanarana.com/imagnes/sis/estudo/faculdade/net.php

情報の送信先

スパイウェアは、収集した情報を以下のＥメールアドレスに送信します。

• {BLOCKED}trigo2008@hotmail.com
• {BLOCKED}y.r0n1@hotmail.com

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 5a483e79b3a7eb54ff4bb80411094347

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 2ad000252dff06408ab2c22a2c9195beecc160df

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください