• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_ZBOT.SMEQ

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。 スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。 スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

---

  詳細

侵入方法

スパイウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• PE_LICAT.A

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}tmkxpjvupsm.info/news/?s=333

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

スパイウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• ctfmon.exe
• dwm.exe
• explorer.exe
• rdpclip.exe
• taskeng.exe
• taskhost.exe
• wscntfy.exe

スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = {malware path and file name}

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• .treasury.pncbank.com/portal/esec/login.htm
• ebanking-services.com
• http://peuhiuyca.com/h/gate.php
• http://peuhiuyca.com/script.js
• https://*.ebanking-services.com/*/signin.asp
• https://_ 
  <U .treasury.pncbank.com/portal/esec/login.ht
• https://access.jpmorgan.com/appmanager/jpmalogonportal/jpmalogonhome
• https://akamai.net/wellsoffice.wellsfargo.com/ceoportal/framework/skins/C/js/CEOP.SignonHelper.js
• https://authmaster.nationalcity.com/tmgmt/
• https://banking.commercebank.com/CBI/Accounts/CBI/Summary.aspx
• https://businessaccess.citibank.citigroup.com/cbusol/signN
• https://businessonline.huntington.com/BOLHome/BusinessOnlineLogin.aspx
• https://businessonline.tdbank.com/corporatebankingweb/core/login.aspx
• https://chaseonline.chase.com/MyAccounts.aspx
• https://chsec.wellsfargo.com/login/login.fcc
• https://client.schwab.com/accounts/summary/summary.aspx
• https://cm.netteller.com/login2008/Authentication/Views/Login.aspx
• https://cm.netteller.com/login2008/Authentication/Views/Login.aspxU
• https://customer.eu.clickandbuy.com/gates/google
• https://customer.eu.clickandbuy.com/surfer/spring/accounthome-flow;jsessionid=
• https://online.americanexpress.com/myca/acctsumm/
• https://online.citibank.com/US/portal/Home.do
• https://online.wellsfargo.com/das/cgi-bin/session.cgi
• https://onlinebankingC.wachovia.com/myAccounts.aspx
• https://onlineeastC.bankofamerica.com/cgi-bin/ias/
• https://onlineeastC.bankofamerica.com/cgi-bin/ias/\
• https://securentrycorp
• https://singlepoint.usbank.com/cs70_banking/logon/sbuser
• https://sitekey.bankofamerica.com/sas/maint.do
• https://sitekey.bankofamerica.com/sas/sas-docs/js/commonscript.js
• https://wellsoffice.wellsfargo.com/ceoportal/signon/index.jsp
• https://www.business.hsbc.co.uk/1/2/
• https://www.comerica
• https://www.comerica.com/_
• https://www.hsbccreditcard.com/ecare/viewaccount
• https://www.ibsnetaccess.com/NASApp/NetAccess/RegisteredAccountsDisplay
• https://www.moneybookers.com/app/profile.pl
• https://www.moneybookers.com/gates/google
• https://www.paypal.com/C/cgi-bin/webscr?cmd=_login-done
• https://www.paypal.com/C/cgi-bin/webscr?cmd=_profile-credit-card-new-clickthru
• https://www.paypal.com/C/cgi-bin/webscr_
• https://www.paypal.com/de/cgi-bin/webscr?cmd=_login-done
• https://www.paypal.com/gates/googlehttps://www.saferpay.com/gates/googlehttps://www.saferpay.com/vt/pay.asp
• https://www.suntrust.com/portal/server.pt?mode=
• https://www.us.hsbc.com/1/2/
• https://www.usaa.com/inet/
• https://www.usbank.com/internetBanking/RequestRouter

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}lhjshwdcomn.com/news/?s=5964
• http://{BLOCKED}sxkjriolzxt.biz/news/?s=5964

ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Bank of America
• Chase
• Citibank
• HSBC
• Moneybookers
• NDB
• National City
• PNC
• PayPal
• Suntrust
• US Bank
• USAA
• Wachovia
• Wells Fargo

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}lhjshwdcomn.com/news/
• http://{BLOCKED}tmkxpjvupsm.info/news

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 6b278196d42214f81a872e52b39e4c1b

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 23fe230907fac1a3e0b6c83cffb10000a4b5b04f

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください