ネットバンキングユーザーを狙う「URLZone」が国内で増加 - ファイア・アイ

「ws2_32_close」と3つのAPIをフックする。

具体的には、ws2_32_connectに渡されるパラメータに対して、「FTP」と「MAIL」の文字を確認して、FTP/MAILトランザクションを監視する。FTP/MAILサーバのアドレスと接続ハンドルは、このフックによって窃取される。ws2_32_sendフックは、ユーザーの認証情報を窃取するため、「USER」と「PASS」の文字列を確認して、認証リクエストをキャプチャする。WinInetを使用するWebアプリケーションの場合、付録で示されたAPIをフックし、HTTP/Sセッションを監視する。

フックによって、マルウェアの構成ファイルで指定された文字列を探す。そして、これらの文字列から金融機関の情報が見つかった場合は、マルウェアは情報をC2サーバに送信する。

ドメイン生成アルゴリズム(DGA)が使用されており、最初のシードとなるC2のURLにはマルウェア本体内に暗号文字列としてハードコードされている。ハードコードされたURLと通信が確立しない場合、マルウェアはDGAを使用して適切なURLを見つける。

まずgoogle.comに接続してインターネットに接続し、次にSSLv3ハンドシェイクを通じて生成されたURLが証明書に対応しているかを確認する。