TSPY_ZBOT.BBH

2013年5月28日
 解析者: Kathleen Notario   
 プラットフォーム:

Windows 2000, XP, Server 2003

 危険度:
 感染確認数:
 システムへの影響:
 情報漏えい:


  • マルウェアタイプ: スパイウェア
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要


スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。

  詳細

ファイルサイズ 137,216 bytes
タイプ PE
メモリ常駐 はい
発見日 2010年10月1日
ペイロード ファイルのダウンロード, ファイルの作成

侵入方法

スパイウェアは、以下の悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

  • http://{BLOCKED}oue.com/ptz/ptg.exe

インストール

スパイウェアは、以下のフォルダを追加します。

  • %Application Data%\{random1}
  • %Application Data%\{random2}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスに自身を組み込み、システムのプロセスに常駐します。

  • dwm.exe
  • rdpclip.exe
  • ctfmon.exe
  • wscntfy.exe
  • taskeng.exe
  • taskhost.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random CLSID} = "%Application Data%\{random1}\{random}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random}

作成活動

スパイウェアは、以下のファイルを作成します。

  • %Application Data%\{random1}\{random}.exe
  • %Application Data%\{random2}\{random}.{random}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

  • http://{BLOCKED}soue.com/ptz/por.tu

情報漏えい

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

  • !*.microsoft.com/*
  • !http://*myspace.com*
  • !http://*odnoklassniki.ru/*
  • !http://vkontakte.ru/*
  • *arquia.es*flash.asp
  • *barclays.es*
  • *bbvanetoffice.com*DFServlet
  • *bbvanetoffice.com*login_bbvanetoffice.html
  • *caixacatalunya.com/*/Home/*,,00.html
  • *caixacatalunya.com/*/benvinguda*
  • *caixacatalunya.com/*/bienvenida*
  • *caixapenedes.com*
  • *caixasabadell.net*
  • *caixasabadell.net*teclado.js
  • *caixatarragona.es*
  • *cajaduero.es*
  • *cajalaboral.com*acceso_es.js
  • *cajalaboral.com*home.aspx
  • *cam.es*
  • *cam.es*form_camdirecto.js
  • *ce.caixalaietana.es*inicio_identificacion.action
  • *https://caixadirecta.cgd.pt/CaixaDirecta/profile.do*
  • *iurisbank.com/isum/Main?ISUM_SCR=login*
  • *iurisbank.com/js/checkUsuPass.js
  • *iurisbank.com/js/interface.js
  • *kutxa.net*loginkn.jsp*
  • *lloyds*
  • *lloyds*layout.js
  • *net.kutxa.net*styles_acceso.css
  • *ruralvia.com/isum/Main?ISUM_SCR=login*
  • *ruralvia.com/js/checkUsuPass.js
  • *ruralvia.com/js/interface.js
  • http*cajamadridempresas.es*login_nuevo_oie.js
  • http*cajamadridempresas.es*login_oie_*
  • http*empresas.gruposantander.es*login.js
  • http*empresas.gruposantander.es/WebEmpresas/servlet/webempresas.servlets.CompressJSP?JSP=nueva_imagen/inicio.jsp*
  • http*inversis.com*
  • http*inversis.com*/js/inversiones/common.js
  • http*online.halifax.es*
  • http://caixatarragona.es/img/logo_discriminador.gif
  • https://caixasabadell.net/banca2/comun/NW/img/logoUnnim.gif
  • https://login.facebook.com/*
  • https://oie.cajamadridempresas.es/CajaMadrid/oie/imagenes/logocm.gif
  • https://seguro.cam.es/camd/SvlLoginCAM
  • https://www.barclays.es/publico/images/logo.png
  • https://www.bbvanetoffice.com/mult/logo_nuevo.gif
  • https://www.caixacatalunya.com/NASApp/ceconline/flow.jsp
  • https://www.caixacatalunya.com/caixacat/eng/ccpublic/img_comun/redlogo_small.gif
  • https://www.caixapenedes.com/imatges/logo_lema_cat.gif
  • https://www.caixatarragona.es/img/b24h_submit.gif
  • https://www.cajaduero.es/CajaElectronica/images/CajaElectronica/logocajaduero.gif
  • https://www.cajalaboral.com/clweb/img/all/logo.png
  • https://www.cam.es/Imagenes%20Caja%20Ahorros%20Mediterranea/ES/Logos-Simbolos/Simbolos/logo.jpg
  • https://www.iurisbank.com/es_ES/img/logo_acceso_3171.gif
  • https://www.ruralvia.com/estilos_prtl/css_acceso/img/logorvia05.gif

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

  • BBVA
  • Barclays
  • Caixa Catalunya
  • Caixa Geral de Depósitos
  • Caixa Laietana
  • Caixa Penedès
  • Caixa Sabadell
  • Caixa Tarragona
  • Caja Duero
  • Caja Laboral
  • Caja Madrid
  • Caja Mediterráneo
  • Caja Rural
  • Caja de Arquitectos
  • Facebook
  • Halifax
  • IS Bank
  • Kutxanet
  • Lloyds
  • Microsoft
  • Myspace
  • Odnoklassniki
  • Santander
  • Vkontakte

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

  • http://{BLOCKED}rborj.com/prt/jkkoz.php

ハッシュ値情報

スパイウェアは、以下のMD5ハッシュ値を含んでいます。

  • d9c9c3ff4495a62c50947e2929eb8115

スパイウェアは、以下のSHA1ハッシュ値を含んでいます

  • b4f7fbcc43121c3036aa89a38199d661b0d579a6

  対応方法

対応検索エンジン: 8.900

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

回復コンソールを使用して、TSPY_ZBOT.BBH として検出されるファイルを確認し、削除します。

[ 詳細 ]

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {random CLSID} = "%Application Data%\{random1}\{random}.exe"

手順 4

以下のフォルダを検索し削除します。

[ 詳細 ]
註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\{random1}
  • %Application Data%\{random2}

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_ZBOT.BBH」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください