TSPY_BANKER.VIX

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、”flashplayerwindows” として装う、偽のプロジェクトに関連しています。スパイウェアは、実行されると、「Google Code」へアクセスし、他のファイルをダウンロードします。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %System Root%\ProgramData\log.brt

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Startup%\iexplorer.exe

(註：%User Startup%フォルダは、Windows 98 および ME の場合、通常、"C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup"、Windows NT の場合、"C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" および "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。)

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
ConsentPromptBehaviorAdmin = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
TaskbarNoThumbnail = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = "0"

ダウンロード活動

スパイウェアは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

• http://www.{BLOCKED}0.com/bart4/up.txt

情報漏えい

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Banco Itau
• Banco de Brasil

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}ctor.pl/wp-content/plugins/xml/infect.php
• {BLOCKED}.{BLOCKED}.200.175:49990

スパイウェアは、以下のブラウザの特にのアドレスバーまたはタイトルバーを監視し、ユーザが銀行関連のWebサイトを閲覧しているかを確認します。

• Internet Explorer（IE）
• Mozilla Firefox
• Google Chrome