TSPY_BANKER.WSTA

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

このオンライン銀行詐欺ツール「ZBOT」の亜種は、2014年の半ばのスパム活動を介して拡散されているのが確認されました。その活動のスパムメッセージは、特定のファイルストレージサービスを利用していました。

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\googleupdaterr.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のコンポーネントファイルを作成します。

• %Application Data%\userdata.dat - encrypted configuration file which contains bot id and list of target banks

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe
• chrome.exe
• firefox.exe
• iexplore.exe

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• RangisMutex5

自動実行方法

スパイウェアは、作成されたコンポーネントがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
GoogleUpdate = "%Application Data%\googleupdaterr.exe"

情報漏えい

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Bank of America
• Citibank
• NatWest
• The Royal Bank of Scotland
• Ulster Bank

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• {BLOCKED}.{BLOCKED}.148.6

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://{BLOCKED}zip.com

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.207.151
• {BLOCKED}.{BLOCKED}.6.61

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

スパイウェアが作成した以下のコンポーネントファイルは、暗号化された環境設定ファイルであり、ボットIDおよび対象の銀行のリストを含みます。

• %Application Data%\userdata.dat

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• バンクオブアメリカ
• シティバンク
• ナショナル・ウェストミンスター銀行
• ロイヤルバンク・オブ・ スコットランド
• アルスター銀行

スパイウェアは、以下のいずれかを含むURLをもつ銀行のログインwebページに不正なコードを組み込み、重要な銀行の情報を収集します。

• businessaccess.citibank.citigroup.com
• cashproonline.bankofamerica.com
• www.bankline.natwest.com
• www.bankline.rbs.com
• www.bankline.ulsterbank.ie

収集される重要な銀行の情報には以下があります。

• ビジネスコード
• ビジネスネーム
• 企業ID
• パスワード
• トークン
• ユーザID

ユーザがログインボタンまたは送信ボタンをクリックすると、銀行の情報がC&Cサーバへ送信されます。そして、Webページは不正なコードを含まないオリジナルの銀行のログインページに戻り、ユーザは通常通りにログインすることができるようになります。