• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_ZBOT.TRW

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

感染ポイント

スパイウェアは、以下のWebサイトからダウンロードされたファイルとして、コンピュータに侵入します。

• http://{BLOCKED}og.ru/official6.exe

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random}.{random} - contains encrypted stolen data

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• All processes

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID of mount point of %Windows%} = %Application Data%\{random1}\{malware filename}.exe

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

スパイウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = %Windows%\explorer.exe:*:Enabled:Windows Explorer

情報漏えい

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}eet.ru/offline8.bin
• http://{BLOCKED}m.ru/hutaroma.bin
• http://{BLOCKED}oney.ru/tuvikola.bin
• http://{BLOCKED}rush.ru/butsumin.bin
• http://www.{BLOCKED}pt2.ru/qolored.bin
• http://www.{BLOCKED}tomexixo.ru/vimedcer.bin

スパイウェアは、以下のWebサイトを対象とします。

• https://*/todo/ping.php*
• @*//www.svbconnect.com/security/challengeVerify.do
• @*//ultrabranch.alaskausa.org/efs/servlet/efs/*password*
• @*//ktt.key.com/ktt/cmd/validatePinForm
• @*//ktt.key.com/ktt/cmd/logonFromKeyCom
• @*ingdirect.com*
• https://*secure.hsbcnet.com/*AUTH*
• https://ibanka.seb.lv/ipc/login_ub*
• https://i*.baltikums.*/stream.Baltikums*
• https://www.commercial.hsbc.com.hk/1/2/!ut/p/kcxml/*
• https://www.almubasher.com.sa/NewECorporate/p/login*
• https://www*sampopank*/ibank/login*
• https://i.rietumu.lv/*/login*
• https://www.rbworld.lv/*
• https://s2b.standardchartered.com/css/en/content.css
• https://www.rbworld.lv/bankworld/*/LoginBrowser/login*
• https://www.ab.lv/*
• https://ebank.laiki.com/CommonUI/eBankBusinessUI/eBankingTransactions*
• https://ebank.laiki.com/commonui/ebankcommonui/logonto.aspx
• https://*bankofcyprus.com/*

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Silicon Valley Bank
• Alaska USA Federal Credit Union
• KeyBank
• ING Direct
• HSBC
• Ibanka
• Baltikums Banka
• Al Mubasher
• Sampo Pank
• Rietumu Banka
• Rietumu BankWorld
• Standard Chartered Bank
• ABLV Bank
• Marfin Laiki Bank
• Bank of Cyprus

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}ack.ru/ping32.php

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください