TSPY_ZBOT.BYZ

スパイウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。 スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。 スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。 スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

侵入方法

スパイウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• PE_LICAT.A

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

スパイウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}kmzjwjtyzqj.org/news/?s=3

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random1}\{random}.exe - copy of itself
• %Application Data%\{random2}\{random}.{3 random alpha character extension name} - encrypted file

(註：%Application Data%フォルダは、 Windows 2000、XP、Server 2003 の場合 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" 、 Windows NTの場合 "C:\WINNT\Profiles\＜ユーザ名＞\Application Data"、Windows 98 および MEの場合、"C:\Windows\Profiles\＜ユーザ名＞\Application Data" です。)

スパイウェアは、フォルダを作成し、このフォルダ内に自身のファイルを作成します。

スパイウェアは、以下のプロセスに組み込まれ、システムのプロセスに常駐します。

• ctfmon.exe
• dwm.exe
• explorer.exe
• rdpclip.exe
• taskeng.exe
• taskhost.exe
• wscntfy.exe

スパイウェアは、プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = {malware path and file name}

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER
CleanCookies = 0

HKEY_LOCAL_MACHINE
%Windows%\\\\EXPLORER.EXE = %Windows%\\EXPLORER.EXE:*:Enabled:Windows Explorer

情報漏えい

スパイウェアは、ユーザ名およびパスワードといったオンラインバンキングに関連した個人情報を収集します。これにより、収集された情報は不正リモートユーザにより悪用される可能性があります。

スパイウェアは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• {BLOCKED}mzjwjtyzqj.org/news/?s=2

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

• !*.facebook.com/*
• !*.microsoft.com/*
• !*.myspace.com/*
• !*.twitter.com/*
• !*.youtube.com/*
• !https://*.mcafee.com/*
• !https://chatserver.comm100.com/*
• !https://clients4.google.com/*
• !https://fx.sbisec.co.jp/*
• !https://mail.goole.com/*
• !https://match2.me.dium.com/*
• !https://server.iad.liveperson.net/*
• !https://www.direktprint.de/ *
• *.barclays.co.uk*
• *.barclays.co.uk*barcaz.php*
• *.barclays.co.uk*bg.php*
• *.firstdirect.com/1/2/*
• *.hsbc.co.uk/1/2*
• *.mybank.alliance-leicester.co.uk*
• *alliance*leicester.co.uk*bg.php*
• *alliance*leicester.co.uk*leicesteraz.php*
• *firstdirect.com*bg.php*
• *firstdirect.com*firstaz.php*
• *hsbc.co.uk*az.php*
• *hsbc.co.uk*bg.php*
• http://www.barclays.co.uk.servaz.cc/barc/bg.php
• http://www.barclays.co.uk.servaz.cc/js/barcaz.js
• http://www.mybank.alliance-leicester.cc/js/leicesteraz.js
• http://www.mybank.alliance-leicester.cc/leicester/bg.php
• http://www.nsbc.cc/az.js
• http://www.nsbc.cc/hsbc/bg.php
• http://www1.banking.firstdirect.cc/first/bg.php
• http://www1.banking.firstdirect.cc/js/firstaz.js
• https://*.ebanking-services.com/*/signin.aspxauthTknW

ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。

なお、このファイルの内容である監視Webサイトのリストは、常時変更されます。

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

• Comm100 Live Chat
• Direkt Print
• Facebook
• Google Mail
• LivePerson
• McAfee
• Me.dium
• Microsoft
• Myspace
• Sbisec
• Twitter
• YouTube
• ANZ
• Barclays
• NSBC
• HSBC
• First Direct

情報の送信先

収集された情報は、以下のWebサイトにアップロードされます。

• {BLOCKED}mzjwjtyzqj.org/news/?s=

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

• f75a4692b5185286ac0b2ff02da0c32b

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

• 017394d012a6412b42a3846e1c32f420cc146712