TROJ_BANLOAD.GB

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

この「BANLOAD」の亜種は、コンピュータ上での銀行取引中の不正なコードの実行を防ぐ詐欺対策ソフトウェア「G-buster Plugin（GbPlugin）」の存在を確認します。これは、コンピュータがオンライン銀行取引に使用されているかを確認するために行われます。ただし、マルウェアは、このプラグインが存在していても自身の不正活動を実行することができます。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

インストール

マルウェアは、以下の無害なファイルを作成します。

• %Application Data%\tcefni.dat

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}venturoso.com.br/modulo.txt

マルウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}venturoso.com.br/htp.txt

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\tpp.dat - config
• %Application Data%\{random}.txt - detected as TSPY_BANKER.GB

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

マルウェアは、以下のWebサイトにアクセスし、マルウェアサーバに感染を記録します。

• http://＜省略＞venturoso.com.br/log.php?tipo=＜ログの種類＞&name=＜ダウンロードしたファイル名＞&dados=＜収集したデータ＞

マルウェアが作成する無害なファイルは以下のとおりです。

• %Application Data%\tcefni.dat

マルウェアがダウンロードし、保存する環境設定ファイルは以下のとおりです。

• %Application Data%\tpp.dat

マルウェアがダウンロードし、保存する「TSPY_BANKER.GB」として検出されるファイルは以下のとおりです。

• ＜Application Data＞\＜ランダム＞.txt