TSPY_ZBOT.BOZ

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

感染ポイント

スパイウェアは、以下のWebサイトからダウンロードされたファイルとして、コンピュータに侵入します。

• http://{BLOCKED}ost/de.exe

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe
• %Application Data%\{random2}\{random}.{random}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random1}
• %Application Data%\{random2}

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

• explorer.exe
• taskhost.exe
• taskeng.exe
• Dwm.exe
• wscntfy.exe
• ctfmon.exe
• rdpclip.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = %Application Data%\{random1}\{random}.exe

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• http://{BLOCKED}n.net/x8000_1/d100.jpg

情報漏えい

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• !http://*
• !https://*.antiplagiat.ru/*
• !https://*.mcafee.com/*
• !https://*.myherbalife.com/*
• !https://www.google.com/accounts/CreateAccount*
• *www.postbank.de/-snm*
• https://banking.postbank.de/app/login.do*
• https://banking.postbank.de/app/static/images/pblogo2.gif
• https://banking.postbank.de/app/welcome.do*
• https://finanzportal.fiducia.de/*/entry*
• https://finanzportal.fiducia.de/*/portal*
• https://internetbanking.gad.de/images/Ib.js*
• https://internetbanking.gad.de/ptlweb/WebPortal*
• https://meine.deutsche-bank.de/*
• https://meine.deutsche-bank.de/*/javascript/global.js*
• https://meine.deutsche-bank.de/trxmcontent/10.1.11.0/global/default/images/logo_db.gif
• https://my.hypovereinsbank.de/img/ico/logo.gif
• https://my.hypovereinsbank.de/js/portal.js*
• https://my.hypovereinsbank.de/login*
• https://www.commerzbanking.de/*/cowis.js*
• https://www.commerzbanking.de/*/pgf.html*
• https://www.google.com/accounts/ig.gif
• https://www.targobank.de/de/*cgi*
• https://www.targobank.de/de/images/css/env/logo.gif
• https://www.targobank.de/de/images/css/env/logo.gif
• https://www.targobank.de/de/javascript/funcs_global.js*

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Commerzbank
• Deutsche Bank
• Fiducia
• GAD
• Google
• HypoVereinsbank
• McAfee
• My Herbalife
• Postbank
• Targobank

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}n.net/x8000_1/2923478234.php

その他

このスパイウェアのコードから、スパイウェアは、以下の機能を備えています。

• This spyware inserts JavaScript (JS) code in the Web pages to retrieve user names, passwords, and security codes used in a two-factor authentication in order to transact from within the Web site.

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• a5fbb1a095c8269e7ad37e26dc4da4f3

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 3145b87c343675afbf64acd53b81c10ba1d7443c