• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_ZBOT.XXT

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、ソーシャル・ネットワーク・サイト「Facebook」を装った偽のEメールとしてコンピュータに侵入します。Eメールには、「ユーザのコンピュータがスパムメールを送信している」と記載されており、スパムメールの送信を止めるために添付ファイルを実行するように促します。

マルウェアは、WebサイトにJavaScriptコードを挿入し、2要素認証で使用するユーザ名、パスワードおよびセキュリティコードを収集します。これらの情報は、このWebサイト上での取引に用いられます。

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。 スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random} - contains encrypted data

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe
• taskhost.exe
• taskeng.exe
• Dwm.exe
• wscntfy.exe
• ctfmon.exe
• rdpclip.exe

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID of mount point of %Windows%} = %Application Data%\{random1}\{random}.exe

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

スパイウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%WINDOWS%\EXPLORER.EXE = %WINDOWS%\EXPLORER.EXE:*:Enabled:Windows Explorer

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• http*chase.com/js_tmp/*
• http://armskeyboard.com/java/
• http*bankofamerica.com/js_tmp/*
• http://armskeyboard.com/java/
• http*wellsfargo.com/js_tmp/*
• http://armskeyboard.com/java/
• https://sitekey.bankofamerica.com/sas/sas-docs/js/verifyImage.js
• https://sitekey.bankofamerica.com/sas/*
• http*chase.com*
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoCustomerServiceMenu
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
• https://sitekey.bankofamerica.com/sas/sas-docs/js/commonscript.js
• https://sitekey.bankofamerica.com/sas/maint.do
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/CustomerServiceMenuEntryPoint?custAction=75
• https://*ameritrade.com*
• *wescom.org*
• http*countrywide.com*
• http*suntrust.com*
• *scottrade.com*
• *navyfcu.org*
• https://online.citibank.com/US/JPS/portal/Home.do
• https://www#.citizensbankonline.com/*/index-wait.jsp
• https://onlinebanking.nationalcity.com/OLB/secure/AccountList.aspx
• https://www.53.com/servlet/efsonline/index.html*
• https://*hb.growfinancial.org*
• http*chase.com/js_tmp/*
• http://armskeyboard.com/java/
• http*bankofamerica.com/js_tmp/*
• http://armskeyboard.com/java/
• http*wellsfargo.com/js_tmp/*
• http://armskeyboard.com/java/
• https://sitekey.bankofamerica.com/sas/sas-docs/js/verifyImage.js
• https://sitekey.bankofamerica.com/sas/*
• http*chase.com*
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoCustomerServiceMenu
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
• https://sitekey.bankofamerica.com/sas/sas-docs/js/commonscript.js
• https://sitekey.bankofamerica.com/sas/maint.do
• https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/CustomerServiceMenuEntryPoint?custAction=75
• https://*ameritrade.com*
• *wescom.org*
• http*countrywide.com*
• http*suntrust.com*
• *scottrade.com*
• *navyfcu.org*
• https://online.citibank.com/US/JPS/portal/Home.do
• https://www#.citizensbankonline.com/*/index-wait.jsp
• https://onlinebanking.nationalcity.com/OLB/secure/AccountList.aspx
• https://www.53.com/servlet/efsonline/index.html*
• https://*hb.growfinancial.org*

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}ngmad.com/images/smilies/joke.gif

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Ameritrade
• Bank of America
• Chase
• Citibank
• Citizens
• Fifth Third
• Myspace
• National City
• Navy Federal Credit Union
• Scottrade
• Suntrust
• Wells Fargo
• Wescom Credit Union

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://www.{BLOCKED}al.com/coolstar/coolstar.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• 69af20dbad4d042b1f682abdec824374

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 5895a5247d69d27c814c71d10f8e24307896e3c5

その他

マルウェアは、WebサイトにJavaScriptコードを挿入し、2要素認証で使用するユーザ名、パスワードおよびセキュリティコードを収集します。これらの情報は、このWebサイト上での取引に用いられます。

---

  対応方法