• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_ZBOT.CAU

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

---

  詳細

侵入方法

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://www.webtaxfree.com/big/bot.exe

インストール

マルウェアは、以下のフォルダを追加します。

• %System%\lowsec

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\sdra64.exe

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• _AVIRA_2109

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• SVCHOST.EXE
• WINLOGON.EXE

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Winlogon
Userinit = %System%\userinit.exe, %System%\sdra64.exe,

(註：変更前の上記レジストリ値は、「%System%\userinit.exe,」となります。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Network
UID = {Computer name} _{Random numbers}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = 0

作成活動

マルウェアは、以下のファイルを作成します。

• %System%\lowsec\local.ds - copy of the encrypted downloaded file
• %System%\lowsec\user.ds - used to save the gathered information

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

情報漏えい

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://www.webtaxfree.com/big/config.bin

マルウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このマルウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• *.microsoft.com/*
• */atl.osmp.ru/*
• */login.osmp.ru/*
• http://*myspace.com*
• http://*odnoklassniki.ru/*
• http://vkontakte.ru/*
• https://acikdeniz.denizbank.com/CustomLogin/Business.aspx
• https://acikdeniz.denizbank.com/CustomLogin/Corporate.aspx
• https://acikdeniz.denizbank.com/CustomLogin/Retail.aspx
• https://acikdeniz.denizbank.com/EBranchForms/Account/Detail/AccountsMain.aspx?sID=*
• https://esube.ingbank.com.tr/giris/default_faturatal.asp
• https://esube.ingbank.com.tr/ybs/TumVarlik.asp
• https://esube1.ziraatbank.com.tr/veribranchZB/inquiry/account_inquiry.jsp?ts=new
• https://intbank.finansbank.com.tr/FWF/*
• https://internetsube.akbank.com.tr/cgi-bin/login_initial.cgi?ch=BIS
• https://internetsube.akbank.com.tr/cgi-bin/nsw.cgi?*
• https://internetsube.yapikredi.com.tr/myapp/firstpage/main.jsp*
• https://internetsube.yapikredi.com.tr/myapp/funds/assets.do?new=y&link=I
• https://internetsube.yapikredi.com.tr/myapp/welcome.do
• https://isube.albarakaturk.com.tr/albaraka/content.jsp*
• https://sube.garanti.com.tr/isube/*
• https://sube.kuveytturk.com.tr/WebProd/*AccountList*
• https://sube.kuveytturk.com.tr/WebProd/FinancialTransactions/MoneyTransfers/EFT/EftToAccount/EftToAccountConfirm.aspx
• https://sube.kuveytturk.com.tr/WebProd/FinancialTransactions/MoneyTransfers/EFT/EftToCard/EftToCardConfirm.aspx
• https://sube.kuveytturk.com.tr/WebProd/FinancialTransactions/MoneyTransfers/IntraBank/IntraBankToOtherAccount/IntraBankToOtherAccountConfirm.aspx
• https://sube.sekerbank.com.tr/web/servlet/RequestDispatcherServlet
• https://sube.sekerbank.com.tr/web/servlet/RequestDispatcherServlet?service=hesap.hesapEkstreGoster&*
• https://ticinternetsube.akbank.com.tr/cgi-bin/kurumsal_login_initial.cgi
• https://ticinternetsube.akbank.com.tr/cgi-bin/nsw_scm.cgi?*
• https://www.gruposantander.es/*
• https://www.isbank.com.tr/Internet/ControlLoader.aspx*
• https://www.isbank.com.tr/Internet/Internet.aspx?id=*
• https://www.isbank.com.tr/Internet/RequestHandler.ashx?*Durumum&*
• https://www.paypal.com/*/webscr?cmd=_account
• https://www.paypal.com/*/webscr?cmd=_login-done*
• https://www.turkiyefinans.com.tr/isube/gn.aspx

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Akbank
• DenizBank
• Finansbank
• Garanti
• ING Bank
• IS Bank
• Kuveyt Turk
• Microsoft
• Myspace
• OSPM
• Odnoklassniki
• PayPal
• Santander
• Sekerbank
• Türkiye Finans
• Vkontakte
• Yapi Kredi
• Ziraatbank

情報収集

マルウェアは、以下のファイル内に収集した情報を保存します。

• %System%\lowsec\user.ds

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.webtaxfree.com/big/soun.php

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• a2100400dde36d10d931227b69f620e8

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• 951abeab6cea0e991d11c47431279ac3ed48da97

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください