TrojanSpy.Win32.FAREIT.TIOIBOAN

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

• %ProgramData%\{Random Folder Name}

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %ProgramData%\{Random Folder Name}\hostdl.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のプロセスを追加します。

• "wmic" cpu get Name /format:list\
• "wmic" path win32_VideoController get name /format:list;\
• "wmic" os get Caption /format:list;\

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://5.18{BLOCKED}1.110/supreme/fi{BLOCKED}olset.txt
• http://bott{BLOCKED}.com.{BLOCKED}te.php
• http://5.8{BLOCKED}/setti{BLOCKED}47e2da342bdb995f6389533ad1a3d.txt

以下のスケジュールされたタスクを追加します：

• • Task Name: WinUrl
  • Task Action: %ProgramData%\{Random Folder Name}\hostdl.exe
  • Task Trigger: Every 1 minute after first execution

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

＜補足＞
インストール

スパイウェアは、以下のフォルダを追加します。

• %ProgramData%\{ランダムなフォルダ名}

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %ProgramData%\{ランダムなフォルダ名}\hostdl.exe