Trend Micro Security

TSPY_ZBOT.ZQB

2012年10月8日
 解析者: Michael Cabel   
 プラットフォーム:

Windows 2000, XP, Server 2003

 危険度:
 感染確認数:
 システムへの影響:
 情報漏えい:


  • マルウェアタイプ: スパイウェア
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要


スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。 スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。 スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

  詳細

ファイルサイズ 113,664 bytes
タイプ PE
メモリ常駐 はい
発見日 2010年9月30日
ペイロード ファイルのダウンロード

侵入方法

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

  • http://{BLOCKED}.{BLOCKED}.13.206/us2/us.exe

インストール

スパイウェアは、以下のファイルを作成します。

  • %Application Data%\{random1}\{random}.exe - copy of itself
  • %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

スパイウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

  • ctfmon.exe
  • dwm.exe
  • explorer.exe
  • rdpclip.exe
  • taskeng.exe
  • taskhost.exe
  • wscntfy.exe

スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = {malware path and file name}

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

情報漏えい

スパイウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。スパイウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

  • *login.yahoo.com*
  • *login.live.com*
  • http://www.facebook.com/index.ph*
  • http*chase.com/
  • http*chase.com/
  • https://*chase.com/*
  • https://chaseonline.chase.com/secure/serviceactivation/confirmation/error.aspx
  • https://chaseonline.chase.com/secure/ServiceActivation/LOBServiceController.aspx?_context=wire
  • https://chaseonline.chase.com/MyAccounts.aspx
  • https://chaseonline.chase.com/secure/serviceactivation/secauth/secauthinformation.aspx
  • https://chaseonline.chase.com/secure/serviceactivation/secauth/otpdeliverymode.aspx
  • https://chaseonline.chase.com/secure/serviceactivation/secauth/otpdeliverymodeconfirmation.aspx
  • https://chaseonline.chase.com/secure/serviceactivation/secauth/validateotp.aspx
  • https://chaseonline.chase.com/secure/serviceactivation/legalagreements/legalagreement.aspx
  • https://chaseonline.chase.com/secure/serviceactivation/primaryaccount/primaryaccount.aspx
  • https://chaseonline.chase.com/secure/serviceactivation/confirmation/confirm.aspx
  • https://payments.chase.com/Wire/wirerecipientaddroutingnumber.aspx
  • https://payments.chase.com/Wire/wirerecipientaddform2.aspx
  • https://payments.chase.com/Wire/wirerecipientaddverify.aspx
  • https://payments.chase.com/Wire/wirerecipientaddconfirm.aspx
  • https://payments.chase.com/Wire/wireaddform2.asp*
  • https://payments.chase.com/Wire/wireaddverify.aspx
  • https://payments.chase.com/Wire/wireaddconfirm.aspx
  • https://stmts.chase.com/StmtList.aspx?*
  • https://banking.chase.com/AccountActivity/AccountDetails.aspx?AI=*
  • *wellsfargo.com/
  • *online.wellsfargo.com/login*
  • *online.wellsfargo.com/das/cgi-bin/session.cgi*
  • https://online.wellsfargo.com/das/cgi-bin/session.cgi*
  • https://*.chase.com/MyAccounts.aspx*
  • https://online.wamu.com/Servicing/Servicing.aspx?*
  • *.citibank.com/US/JPS/portal/Index.do*
  • *.citibank.com/US/JRS/portal/accountSummary.do
  • https://online.citibank.com/US/*/portal/menu.do*
  • https://online.citibank.com/US/*/portal/Home.do*
  • https://www.paypal.com/*/cgi-bin/webscr?cmd=_login-done&login_access=*
  • https://www.paypal.com/*/cgi-bin/webscr?cmd=_login-done&login_access=*
  • https://www.paypal.com/us/cgi-bin/webscr?cmd=_show-limits&req_from=view_limits
  • https://www.paypal.com/us/cgi-bin/webscr?cmd=_profile-credit-card-new-clickthru&flag_from_account_summary=1
  • https://www.paypal.com/us/cgi-bin/webscr?cmd=_profile-ach
  • https://businessonline.tdbank.com/CorporateBankingWeb/Core/InformationReporting/AccountPortfolio.aspx
  • https://businessonline.tdbank.com/CorporateBankingWeb/Core/InformationReporting/AccountPortfolio.aspx
  • https://businessonline.tdbank.com/CorporateBankingWeb/Core/CustomerService/ModifySecurityQuestions.aspx
  • https://businessonline.tdbank.com/CorporateBankingWeb/Core/CustomerService/CustomerService.aspx
  • https://sitekey.bankofamerica.com/sas/challengeQandA.do
  • https://sitekey.bankofamerica.com/sas/signon*
  • *bankofamerica.com/*
  • https://*.bankofamerica.com/cgi-bin/ias/*
  • *.bankofamerica.com*
  • https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
  • https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoCustomerServiceMenu
  • https://sitekey.bankofamerica.com/sas/sas-docs/js/commonscript.js
  • https://sitekey.bankofamerica.com/sas/maint.do
  • https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/CustomerServiceMenuEntryPoint?custAction=75
  • https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/CustomerServiceMenuEntryPoint?custAction=75
  • https://sitekey.bankofamerica.com/sas/maint.do
  • https://www.ibsnetaccess.com/NASApp/NetAccess/LoginValidation
  • htt*://www.citi*com/*

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

  • http://{BLOCKED}.{BLOCKED}.13.206/us2/usdase.db

ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

  • Bank of America
  • Chase
  • Citibank
  • Facebook
  • PayPal
  • TD Bank
  • Vkontakte
  • Washington Mutual
  • Wells Fargo

情報の送信先

収集された情報は、以下のWebサイトにアップロードされます。

  • http://{BLOCKED}.{BLOCKED}.174.58/woops/ttf.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

  • 6188ff74240b54eb0e20310354a38731

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

  • adf543142e2ac7d702c136ba2a2a15d7a285fdf1

  対応方法

対応検索エンジン: 8.900

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「TSPY_ZBOT.ZQB」で検出したパス名およびファイル名を確認し、メモ等をとってください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Privacy
    • CleanCookies = 0
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {GUID} = {malware path and file name}
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • %Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer

手順 5

Internet Explorer（IE）のセキュリティ設定を修正します。

[ 詳細 ]

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_ZBOT.ZQB」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください