ネットバンキングユーザーを狙う「URLZone」が国内で増加 - ファイア・アイ

メールには、ZIPファイルが添付されてり、その中にはURLZoneのバイナリを格納していた。バイナリはDOCやJPGを偽装しており、二重拡張子が使用されていた。

マルウェアは、プロセスホローイング(正規のプロセスをマルウェア自身に置き換える手法)によって、自身が実行されていることを隠蔽する。

コマンドライン・パラメータとして「_section」を追加することで、explorer.exeまたはiexplorer.exeを装うプロセスが、マルウェア本体の子プロセスとして生成される。このプロセスは、一時停止の状態で起動され、エントリポイントに悪意のあるコードが書き込まれる。必要なコードが書き込まれると、一時停止中のプロセスを再開して、悪意あるペイロードを実行する。

続いて、偽装したプロセスが64ビットの場合や、ウィンドウがある場合(iexplore.exeを偽装している場合)、このプロセス内で、悪意あるルーチンを実行する。別のパターンは、システム上で実行中の正規のexplorer.exeに自らをインジェクトし、悪意あるルーチンを実行する。マルウェアは端末に感染した後に「コンピュータ名」「OSのメジャー/マイナー・バージョンと、インストール日」