TROJ_KRAP.AB

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。 マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。 マルウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}line.com/f_32thg2ihfloeil/pxbot.exe

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

マルウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• ctfmon.exe
• dwm.exe
• explorer.exe
• rdpclip.exe
• taskeng.exe
• taskhost.exe
• wscntfy.exe

マルウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = {malware path and file name}

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = 0

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\EXPLORER.EXE = %Windows%\EXPLORER.EXE:*:Enabled:Windows Explorer

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• !http://*
• !*.microsoft.com/*
• !http://*myspace.com*
• !http://*odnoklassniki.ru/*
• !http://vkontakte.ru/*
• @*/login.osmp.ru/*
• @*/atl.osmp.ru/*
• http://www.hsbc.co.uk/1/2*
• https://www.hsbc.co.uk/1/2*
• http://www.halifax.co.uk/onlineservices/login.asp*
• https://www.halifax-online.co.uk/*
• https://banking.halifax-online.co.uk/*
• http://www.bankofscotlandhalifax-online.co.uk/
• https://www.bankofscotlandhalifax-online.co.uk/*
• https://banking.bankofscotlandhalifax-online.co.uk/*
• https://ibank.barclays.co.uk/*

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}line.com/ups/dcfg1.bin

ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Barclays
• HSBC
• Halifax
• Microsoft
• Myspace
• OSPM
• Odnoklassniki
• Vkontakte

情報の送信先

収集された情報は、以下のWebサイトにアップロードされます。

• http://{BLOCKED}line.com/f_32thg2ihfloeil/yif3hj373959fd/gate_38g72fugh32ufi.php

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• 6e55898aae6ac1a9fb23c1d8046d77d1
• f0118c4e79b3189a37ee198a3a3ca557

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• 45f29fc210ad146d4a21ad00160827faa7318938
• b5f8b7c6596b31c3424999adc8ee4be764e99cc9