TR/Spy.BZub.GM - Trojan

参照

概要

詳しい説明

統計

ウイルス	TR/Spy.BZub.GM
発見日：	01/02/2007
タイプ	トロイの木馬
感染報告有り	はい
感染報告	低
感染の可能性	低
ダメージ・ポテンシャル	中
スタティック・ファイル	はい
ファイル・サイズ	92.888 バイト
MD5　チェックサム	9344dfb9f65beef177b148ce0f5ad071
VDFファージョン：	6.37.01.10 - Thu, 01 Feb 2007 08:01 (GMT+1) - Thu, 01 Feb 2007 08:01 (GMT+1)
IVDFファージョン：	6.37.01.10 - Thu, 01 Feb 2007 08:01 (GMT+1) - Thu, 01 Feb 2007 08:01 (GMT+1)

一般情報 感染方法
   • それ自体に伝染能力はない

別名
   • Kaspersky(カスペルスキー) Trojan-Spy.Win32.BZub.hv
   • F-Secure(エフ・セキュア) Trojan-Spy.Win32.BZub.hv
   • Sophos(ソフォス) Troj/Dloadr-ASR

プラットフォーム/OS：
   • ウインドウズ 95
   • ウインドウズ 98
   • ウインドウズ 98 SE
   • ウインドウズ NT
   • ウインドウズ ME
   • ウインドウズ 2000
   • ウインドウズ XP
   • ウインドウズ 2003

副作用
   • 悪意ファイルを作成します。
   • セキュリティの設定を低くします。
   • 文字入力を記録します。
   • 情報を盗みます。

ファイル以下のファイルを消去します。
   • %PROGRAM FILES%\Mozilla Firefox\xpcom.dll
   • %PROGRAM FILES%\Mozilla Firefox\softokn3.dll
   • %PROGRAM FILES%\Mozilla Firefox\nss3.dll
   • %PROGRAM FILES%\Mozilla Firefox\js3250.dll
   • %PROGRAM FILES%\Opera\opera.dll
   • %PROGRAM FILES%\Opera\spellcheck.dll

以下のファイルが作成されます：

– このファイルは一時的に使用されるタイプで、後で消去される可能性があります。
   • %SYSDIR%\info.txt
   • c:\1.txt

– %SYSDIR%\ipv6monl.dll 詳しい調査の結果、このファイルもマルウェアであることが判明しました。以下のように検出されました： TR/Spy.BZub.HV

– c:\1.bat

レジストリ以下のレジストリ・キーの値が消えています：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\load]
   • h
   • wspopp
   • forwas
   • nw
   • worg
   • cryptpa
   • tas
   • tannumr
   • tantotl
   • taloinata
   • pops
   • ip
   • scrensos
   • faddress
   • fter
   • ftass
   • uincl
   • pstincl
   • ptexcl

以下のキーを追加してbrowser helper object(BHO)を登録します。

– [HKCU\Software\Microsoft\Internet Explorer\Main]
   • "Enable Browser Extensions"="yes"

– [HKCR\CLSID\{36DBC179-A19F-48F2-B16A-6A3E19B42A87}\InprocServer32]
   • "ThreadingModel"="apartment"
   • "(Default)"="%SYSDIR%\ipv6monl.dll"

– [HKCR\CLSID\{36DBC179-A19F-48F2-B16A-6A3E19B42A87}]
– [HKCR\AppID\{36DBC179-A19F-48F2-B16A-6A3E19B42A87}]
– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\
   browser helper objects\{36DBC179-A19F-48F2-B16A-6A3E19B42A87}]

ウインドウズXPのファイアウォールをバイパスするため、以下のエントリを作成します：

– [HKLM\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\
   FirewallPolicy\StandardProfile\AuthorizedApplications\List]
   • "%PROGRAM FILES%\Internet Explorer\IEXPLORE.EXE"="%PROGRAM
      FILES%\Internet Explorer\IEXPLORE.EXE:*:Enabled:Internet Explorer"

以下のレジストリ・キーが追加されます：

– [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Control Panel\load]
   • "cmpid"=%hex値%
   • "worg"=%hex値%
   • "net_insll"=%現在の日付%
   • "info_sze"=%hex値%
   • "ino"=%hex値%
   • "timeu"=%未来の日付け%
   • "h"=%未来の日付け%

窃盗以下の情報を盗もうとします：
– パスワード入力箇所に入力されたパスワード
– オートコンプリート機能を利用して記録されたパスワード
– レジストリ・キーから取り出されたメール・アカウント情報：HKCUSoftwareMicrosoftInternet Account ManagerAccounts

– ウェブサイトを訪問した後ログインを開始します：
   • https://banking.*.de/
   • e-gold.com
   • banking.postbank.de
   • https://*.netbank.commbank.com.au/netbank/bankmain
   • signin.ebay.com
   • https://sitekey.bankofamerica.com/
   • https://my.if.com/
   • https://olb2.nationet.com
   • https://ibank.barclays.co.uk/

– 取り込むのは：
    • キー入力
    • ウインドウ情報
    • ログイン情報

簡単な説明はココにあります。.

この説明は Cristian Dobre によって Fri, 02 Feb 2007 17:39 (GMT+1) 書き込まれました。
この説明は Andrei Ivanes によって Wed, 28 Feb 2007 14:56 (GMT+1) 更新されました。

» About Malware
» About Phishing
» Viruses In the Wild

« back