TSPY_ZBOT.SMIG

2014年1月8日
 更新者 : Rika Joi Gregorio

 プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: スパイウェア
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要

感染経路 他のマルウェアからの作成

トレンドマイクロは、このスパイウェアをNoteworthy(要注意)に分類しました。

この「ZBOT」の亜種は、対象とする銀行やその他の金融関連のWebサイトのリストが含まれた環境設定ファイルを作成します。またスパイウェアは、異なるFTPサイトから情報の収集や、感染コンピュータから個人証明書の収集を行います。さらに、スクリプト言語「AutoIt」の組み込みとも関連があり、スパイウェアの解析を困難なものにします。

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、Internet Explorer(IE)のセキュリティ設定を変更します。これにより、スパイウェアは、悪意のあるWebサイトへのアクセスが可能になり、感染コンピュータはさらなる脅威にさらされることとなります。

スパイウェアは、特定の銀行および金融機関のWebサイトで利用されるユーザ名やパスワードなどの個人情報を収集します。


  詳細

ファイルサイズ 141,824 bytes
タイプ EXE
メモリ常駐 はい
発見日 2013年12月27日
ペイロード ファイルのダウンロード

侵入方法

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

  • TSPY_ZBOT.ZKW

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

  • %Application Data%\{random folder 2}\{random file name}.exe

(註:%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

  • %System Root%\debug.txt
  • %Application Data%\{random folder 1}\{random file name}.{random extension}
  • %Application Data%\Microsoft\Address Book\{user name}.wab
  • %Application Data%\Microsoft\Address Book\{user name}.wab~

(註:%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。)

スパイウェアは、以下のフォルダを作成します。

  • %Application Data%\{random folder 1}
  • %Application Data%\{random folder 2}
  • %Application Data%\Microsoft\Address Book

(註:%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。)

スパイウェアは、以下のプロセスにコードを組み込みます。

  • explorer.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{GUID} = "%Application Data%\{random folder 2}\{random file name}.exe"

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random key}

HKEY_CURRENT_USER\Software\Microsoft\
WAB

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{random key}
{random} = "{random}"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = "1"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name
(Default) = "%Application Data%\Microsoft\Address Book\{user name}.wab"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "0"

スパイウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

ダウンロード活動

スパイウェアは、以下のWebサイトから自身のコピーの更新版をダウンロードします。

  • http://{BLOCKED}arkbot.com/arxl/chithre/bot.exe

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

  • http://{BLOCKED}arkbot.com/arxl/chithre/config.bin

情報漏えい

スパイウェアは、Webサイトにアクセスしてファイルをダウンロードします。ダウンロードされたファイルには、自身のコピーの更新版ファイルのダウンロード元および収集した情報の送信先が記載されています。なお、上記でダウンロードされたファイルは、環境設定ファイルで、このスパイウェアが情報収集の際に対象とする以下の金融関連Webサイトのリストを含んでいます。

  • *.ebay.com/*eBayISAPI.dll?*
  • *//mail.yandex.ru/index.xml
  • *//mail.yandex.ru/
  • *//money.yandex.ru/
  • *//money.yandex.ru/index.xml
  • */atl.osmp.ru/*
  • */login.osmp.ru/*
  • */my.ebay.com/*CurrentPage=MyeBayPersonalInfo*
  • *banquepopulaire.fr/*
  • *wellsfargo.com/*
  • http://*.osmp.ru/
  • http://caixasabadell.net/banca2/tx0011/0011.jsp
  • http://www.hsbc.co.uk/1/2/personal/internet-banking*
  • https://areasegura.banif.es/bog/bogbsn*
  • https://banca.cajaen.es/Jaen/INclient.jsp
  • https://bancaonline.openbank.es/servlet/PProxy?*
  • https://bancopostaonline.poste.it/bpol/bancoposta/formslogin.asp
  • https://banesnet.banesto.es/*/loginEmpresas.htm
  • https://banking*.anz.com/*
  • https://cardsonline-consumer.com/RBSG_Consumer/VerifyLogin.do
  • https://carnet.cajarioja.es/banca3/tx0011/0011.jsp
  • https://easyweb*.tdcanadatrust.com/servlet/*FinancialSummaryServlet*
  • https://empresas.gruposantander.es/WebEmpresas/servlet/webempresas.servlets.*
  • https://extranet.banesto.es/*/loginParticulares.htm
  • https://extranet.banesto.es/npage/OtrosLogin/LoginIBanesto.htm
  • https://hb.quiubi.it/newSSO/x11logon.htm
  • https://home.cbonline.co.uk/login.html*
  • https://home.ybonline.co.uk/login.html*
  • https://home.ybonline.co.uk/ral/loginmgr/*
  • https://home2ae.cd.citibank.ae/CappWebAppAE/producttwo/capp/action/signoncq.do
  • https://ibank.barclays.co.uk/olb/x/LoginMember.do
  • https://ibank.internationalbanking.barclays.com/logon/icebapplication*
  • https://intelvia.cajamurcia.es/2043/entrada/01entradaencrip.htm
  • https://internetbanking.aib.ie/hb1/roi/signon
  • https://light.webmoney.ru/default.aspx
  • https://lot-port.bcs.ru/names.nsf?#ogin*
  • https://montevia.elmonte.es/cgi-bin/INclient_2098*
  • https://oi.cajamadrid.es/CajaMadrid/oi/pt_oi/Login/login
  • https://oie.cajamadridempresas.es/CajaMadrid/oie/pt_oie/Login/login_oie_1
  • https://olb2.nationet.com/MyAccounts/frame_MyAccounts_WP2.asp*
  • https://olb2.nationet.com/signon/signon*
  • https://online*.lloydstsb.co.uk/logon.ibc
  • https://online-business.lloydstsb.co.uk/customer.ibc
  • https://online-offshore.lloydstsb.com/customer.ibc
  • https://online.wamu.com/Servicing/Servicing.aspx?targetPage=AccountSummary
  • https://online.wellsfargo.com/das/cgi-bin/session.cgi*
  • https://online.wellsfargo.com/login*
  • https://online.wellsfargo.com/signon*
  • https://onlinebanking#.wachovia.com/myAccounts.aspx?referrer=authService
  • https://onlinebanking.nationalcity.com/OLB/secure/AccountList.aspx
  • https://onlinebanking.norisbank.de/norisbank/login.do?method=login* GP
  • https://onlineeast#.bankofamerica.com/cgi-bin/ias/*/GotoWelcome
  • https://pastornetparticulares.bancopastor.es/SrPd*
  • https://privati.internetbanking.bancaintesa.it/sm/login/IN/box_login.jsp
  • https://probanking.procreditbank.bg/main/main.asp*
  • https://resources.chase.com/MyAccounts.aspx
  • https://rupay.com/index.php
  • https://scrigno.popso.it*
  • https://web.da-us.citibank.com/*BS_Id=MemberHomepage*
  • https://web.da-us.citibank.com/cgi-bin/citifi/portal/l/autherror.do*
  • https://web.da-us.citibank.com/cgi-bin/citifi/portal/l/l.do
  • https://web.secservizi.it/siteminderagent/forms/login.fcc
  • https://welcome23.smile.co.uk/SmileWeb/start.do
  • https://welcome27.co-operativebank.co.uk/CBIBSWeb/start.do
  • https://www#.citizensbankonline.com/*/index-wait.jsp
  • https://www#.usbank.com/internetBanking/LoginRouter
  • https://www*.banking.first-direct.com/1/2/*
  • https://www.53.com/servlet/efsonline/index.html*
  • https://www.bancajaproximaempresas.com/ControlEmpresas*
  • https://www.bancoherrero.com/es/*
  • https://www.bbvanetoffice.com/local_bdno/login_bbvanetoffice.html
  • https://www.bgnetplus.com/niloinet/login.jsp
  • https://www.caixagirona.es/cgi-bin/INclient_2030*
  • https://www.caixalaietana.es/cgi-bin/INclient_2042
  • https://www.caixaontinyent.es/cgi-bin/INclient_2045
  • https://www.caixatarragona.es/esp/sec_1/oficinacodigo.jsp
  • https://www.caja-granada.es/cgi-bin/INclient_2031
  • https://www.cajabadajoz.es/cgi-bin/INclient_6010*
  • https://www.cajacanarias.es/cgi-bin/INclient_6065
  • https://www.cajacirculo.es/ISMC/Circulo/acceso.jsp
  • https://www.cajadeavila.es/cgi-bin/INclient_6094
  • https://www.cajalaboral.com/home/acceso.asp
  • https://www.cajasoldirecto.es/2106/*
  • https://www.cajavital.es/Appserver/vitalnet*
  • https://www.ccm.es/cgi-bin/INclient_6105
  • https://www.citibank.de*
  • https://www.clavenet.net/cgi-bin/INclient_7054
  • https://www.dab-bank.com*
  • https://www.e-gold.com/acct/balance.asp*
  • https://www.e-gold.com/acct/li.asp
  • https://www.ebank.hsbc.co.uk/main/IBLogon.jsp
  • https://www.fibancmediolanum.es/BasePage.aspx*
  • https://www.gbw2.it/cbl/jspPages/form_login_AV.jsp* GP
  • https://www.gruposantander.es/*
  • https://www.gruposantander.es/bog/sbi*?ptns=acceso*
  • https://www.gruppocarige.it/grps/vbank/jsp/login.jsp
  • https://www.halifax-online.co.uk/_mem_bin/*
  • https://www.halifax-online.co.uk/_mem_bin/formslogin.asp*
  • https://www.halifax-online.co.uk/MyAccounts/MyAccounts.aspx*
  • https://www.in-biz.it* GP
  • https://www.isbank.com.tr/Internet/ControlLoader.aspx*
  • https://www.isideonline.it/relaxbanking/sso.Login*
  • https://www.iwbank.it/private/index_pub.jhtml*
  • https://www.mybank.alliance-leicester.co.uk/login/*
  • https://www.nwolb.com/Login.asp*
  • https://www.nwolb.com/Login.aspx*
  • https://www.paypal.com/*/webscr?cmd=_account
  • https://www.paypal.com/*/webscr?cmd=_login-done*
  • https://www.rbsdigital.com/Login.asp*
  • https://www.sabadellatlantico.com/es/*
  • https://www.suntrust.com/portal/server.pt*parentname=Login*
  • https://www.unicaja.es/PortalServlet*
  • https://www.uno-e.com/local_bdnt_unoe/Login_unoe2.html
  • https://www.us.hsbc.com/*
  • https://www.wellsfargo.com/*
  • https://www2.bancopopular.es/AppBPE/servlet/servin*

スパイウェアは、以下の銀行もしくは金融機関で利用される個人情報を収集します。

  • Allied Irish Banks
  • ANZ
  • Banca Intesa
  • Bancaja
  • Banco Mediolanum
  • Banco Pastor
  • Banco Popular
  • Banco Sabadell
  • Banesto
  • Banif
  • Bank of America
  • Banque Populaire
  • Barclays
  • BBVANet Office
  • Business Bank of Turkey
  • Caixa Girona
  • Caixa Laietana
  • Caixa Ontinyent
  • Caixa Sabadell
  • Caixa Tarragona
  • Caja Badajoz
  • Caja de Avila
  • Caja Granada
  • Caja Laboral
  • Caja Madrid
  • Caja Murcia
  • Caja Rioja
  • Caja Vital
  • CajaCanarias
  • Cajacirculo
  • Cajasol
  • Cards Online
  • CCM
  • Chase
  • Citibank
  • Citizens Bank
  • Clavenet
  • Clydesdale Bank
  • Co-operative Bank
  • DAB Bank
  • E-gold
  • Ebay
  • Fifth Third Bank
  • First Direct
  • Gruppo Carige
  • Halifax
  • HSBC
  • Inbiz
  • IW Bank
  • Keeper Light - WebMoney
  • Lloyds TSB
  • Monte Dei Paschi Di Siena
  • National City
  • Nationwide
  • NatWest
  • Norisbank
  • Openbank
  • Paypal
  • Poste Italiane
  • ProCredit Bank
  • Qui UBI
  • Relax Banking
  • Royal Bank of Scotland
  • RuPay
  • Sabadell Atlantico
  • Santander
  • SCRIGNO
  • Sec Servizi
  • Smile
  • SunTrust
  • TD Canada Trust
  • U.S. Bank
  • Unicaja
  • Uno-e
  • Wachovia
  • Washington Mutual
  • Wells Fargo
  • Yandex
  • Yorkshire Bank

スパイウェアは、以下の情報を収集します。

  • Personal certificates

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

  • FlashXP
  • TotalCommander
  • WS_FTP
  • Filezilla
  • FTP Commander
  • Smart FTP

情報の送信先

収集された情報は、以下のWebサイトにアップロードされます。

  • http://{BLOCKED}arkbot.com/arxl/chithre/gate.php

その他

スパイウェアが作成するフォルダは、以下のとおりです。

  • <Application Data>\<ランダムなフォルダ1>
  • <Application Data>\<ランダムなフォルダ2>
  • <Application Data>\Microsoft\Address Book

スパイウェアが作成するファイルは、以下のとおりです。

  • <システムのルート(通常C:ドライブ)>\debug.txt
  • <Application Data>\<ランダムなフォルダ1>\<ランダムなファイル名>.<ランダムな拡張子>
  • <Application Data>\Microsoft\Address Book\<ユーザ名>.wab
  • <Application Data>\Microsoft\Address Book\<ユーザ名>.wab~

スパイウェアが、感染したコンピュータ内に作成し、実行する自身のコピーは以下のとおりです。

  • <Application Data>\<ランダムなフォルダ2>\<ランダムなファイル名>.exe

スパイウェアは、個人証明書の情報を収集します。

スパイウェアは、自身の不正活動のログを含む以下のファイルを作成します。

  • <システムのルート(通常C:ドライブ)>\debug.txt


  対応方法

対応検索エンジン: 9.700
初回 VSAPI パターンバージョン 7.870.04
初回 VSAPI パターンリリース日 2011年3月3日
VSAPI OPR パターンバージョン 7.871.00
VSAPI OPR パターンリリース日 2011年3月4日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「TSPY_ZBOT.SMIG」 を作成またはダウンロードする不正なファイルを削除します。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリキーを削除します。

[ 詳細 ]

警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft
    • WAB
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer
    • Privacy

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
    • {GUID} = "%Application Data%\{random folder 2}\{random file name}.exe"
  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List
    • %Windows%\explorer.exe = "%Windows%\explorer.exe:*:Enabled:Windows Explorer"

手順 6

以下のフォルダを検索し削除します。

[ 詳細 ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\{random folder 1}
  • %Application Data%\{random folder 2}
  • %Application Data%\Microsoft\Address Book

手順 7

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %System Root%\debug.txt

手順 8

Internet Explorer(IE)のセキュリティ設定を修正します。

[ 詳細 ]

手順 9

コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「TSPY_ZBOT.SMIG」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 10

インストールの過程で追加された以下のレジストリキーには、参照可能な値が存在しないため、ユーザの手動検索によって確認することができません。そのため、ユーザがデータのバックアップを行なっている場合にのみ、保存されている前データと比較することで追加されたレジストリキーを確認することが可能となります。なお、追加されたレジストリキーは、コンピュータに悪影響を与えるものではないため、削除する必要はありません。

  • HKEY_CURRENT_USER\Software\Microsoft\{random key}


ご利用はいかがでしたか? アンケートにご協力ください

関連ブログ記事