TROJ_ZBOT.BWF

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 ユーザが監視サイトのいずれかにアクセスすると、マルウェアは、キー入力操作情報を収集します。 マルウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

感染ポイント

マルウェアは、以下のWebサイトからダウンロードされたファイルとして、コンピュータに侵入します。

• http://{BLOCKED}line.com/f_32thg2ihfloeil/pxbot.exe

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random1}\{random}.exe

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下の無害なファイルを作成します。

• %Application Data%\{random2}\{random}.yzy

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のフォルダを作成します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

マルウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{56E358FA-8BE4-7EF8-9E04-6D2D640BB6E7} = %Application Data%\{random1}\{random}.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

情報漏えい

マルウェアは、感染したコンピュータ上でInternet Explorer（IE）の使用状況を監視します。マルウェアは、特にIEのアドレスバーまたはタイトルバー情報を監視しますが、ユーザが銀行関連Webサイトを閲覧しそのサイトのアドレスバーまたはタイトルバーに以下の文字列が含まれていた場合、正規Webサイトを装った偽のログインページを作成します。

• !*.microsoft.com/*
• !http://*
• !http://*myspace.com*
• !http://*odnoklassniki.ru/*
• !http://vkontakte.ru/*
• @*/atl.osmp.ru/*
• @*/login.osmp.ru/*
• http://www.bankofscotlandhalifax-online.co.uk/
• http://www.halifax.co.uk/onlineservices/login.asp*
• http://www.hsbc.co.uk/1/2*
• https://banking.bankofscotlandhalifax-online.co.uk/*
• https://banking.halifax-online.co.uk/*
• https://hliksdata.ws/f2_32hit8ughoiewhdshui3/sp1/argdvhge.js
• https://hliksdata.ws/f2_32hit8ughoiewhdshui3/sp1/bdfsghwe.js
• https://hliksdata.ws/f2_32hit8ughoiewhdshui3/sp1/crjfkmkss.js
• https://hliksdata.ws/f2_32hit8ughoiewhdshui3/sp1/d56dged.js
• https://hliksdata.ws/f2_32hit8ughoiewhdshui3/sp1/y.php?ct=
• https://hliksdata.ws/f2_32hit8ughoiewhdshui3/sp1/y.php?f=1&ct=
• https://hliksdata.ws/f2_32hit8ughoiewhdshui3/sp1/y.php?f=4&ct=
• https://hliksdata.ws/f2_32hit8ughoiewhdshui3/sp1/y.php?f=5&ct=
• https://ibank.barclays.co.uk/*
• https://www.bankofscotlandhalifax-online.co.uk/*
• https://www.halifax-online.co.uk/*
• https://www.hsbc.co.uk/1/2*

マルウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

マルウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}line.com/f_32thg2ihfloeil/yif3hj373959fd/up2/mxconfig.bin
• http://{BLOCKED}line.com/ups/dcfg1.bin

ユーザが監視サイトのいずれかにアクセスすると、マルウェアは、キー入力操作情報を収集します。

なお、このファイルの内容である監視Webサイトのリストは、常時変更されます。

マルウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Barclays
• HSBC
• Halifax
• Microsoft
• Myspace
• OSPM
• Odnoklassniki
• Vkontakte

情報収集

マルウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}line.com/f_32thg2ihfloeil/yif3hj373959fd/gate_38g72fugh32ufi.php

その他

解析の結果、マルウェアによるバックドア活動は確認されませんでした。

ハッシュ値情報

マルウェアは、以下のMD5ハッシュ値を含んでいます。

• 4cf92a6ee4c39a262ad4cfc60feca748

マルウェアは、以下のSHA1ハッシュ値を含んでいます

• 8a85225fa163f7dd72175f1b602663711d2449c6