• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_BANKER.MNG

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\explore.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
(default) = %Application Data%\explore.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\explore

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = 0

作成活動

スパイウェアは、以下のファイルを作成します。

• %Windows%\Bank
• %System%\drivers\banking.sys

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。. %System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• Banco Ita - Feito Para Voc - Mozilla Firefox
• Banco Santander (Brasil) S.A. - Mozilla Firefox
• Banco do Brasil
• Banrisul - Internet Explorer
• Bradesco - Mozilla Firefox
• Portal Internet Banrisul - Mozilla Firefox
• Serasa Experian - Consulta Serasa, Cheque, CPF, CNPJ, Credito e Certificado Digital - Mozilla Firefox
• [bb.com.br] - Mozilla Firefox
• http://www.bb.com.br/portalbb/home23
• http://www.itau.com.br/
• http://www.itau.com.br/index.htm
• http://www.itau.com.br/itaucred/
• http://www.itau.com.br/itaushopline/
• http://www.itau.com.br/seguros/
• http://www.itaupersonnalite.com.br/index.jsp
• http://www.it uprivatebank.com.br/privatebank/default.aspx
• https://internetbanking.caixa.gov.br/SIIBC/index.processa
• https://internetbanking.caixa.gov.br/SIIBC/siwinCtrl
• https://www.caixa.gov.br/_newredirect/barra/r_IBC.asp
• https://www2.bancobrasil.com.br/aapf/login.jsp?aapf.IDH=sim&perfil=1

偽のログインページは、正規のログインページに重なり、Internet Explorer（IE）ウィンドウの一部であるように装います。偽のログインページは、正規のWebサイトにおいて決まった位置に表示されます。これにより、ユーザはアカウントに関連する個人情報を入力してしまう可能性があります。また、誤って偽ログインページにユーザ名やパスワードを入力した場合、キー入力操作情報が記録されます。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Banco Itau
• Banco Santander
• Banco do Brasil
• Banrisul
• Bradesco
• Caixa
• Serasa Experian

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.{BLOCKED}kvendas123.com.br/images/infect.php
• http://www.{BLOCKEDkvendas123.com.br/images/info.php

情報の送信先

スパイウェアは、収集した情報を以下のＥメールアドレスに送信します。

• pilotodefugaloko@gmail.com
• pilotodefugaloko@gmail.com

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 8fb4176c43de81af5e3a83bd77eb858c

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 36e74d420f9c45d5cce3b11ce20b46bb8ecc70c5

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください