TrojanSpy.Win32.FAREIT.TIOIBOCRF

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。 スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成し実行します。

• %User Temp%\{random numbers}.bat - this will delete the initially executed copy

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
HWID = {hex values}

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}3.com/ba1/ba1.exe

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random numbers}.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32BitFTP
• 3D-FTP
• AceBit
• Adobe
• BitKinex
• Blaze FTP
• Bullet Proof FTP
• Coffee Cup Software
• Core FTP
• Cryer Website Publisher
• Cyber Duck
• DeluxeFTP
• Easy FTP
• Estsoft ALFTP
• ExpanDrive
• Far Manager
• FastTrack
• FFFTP
• File Zilla
• FireFTP
• Flash FXP
• Flash FXP 3
• Flash FXP 4
• Fresh FTP
• Frigate
• FTP CLient
• FTP Commander
• FTP Control
• FTP Explorer
• FTP Navigator
• FTP Now
• FTP Shell
• FTP++
• FTPGetter
• FTPRush
• Ghisler Total Commander
• Global Downloader
• GlobalSCAPE Cute FTP
• GlobalSCAPE Cute FTP 6
• GlobalSCAPE Cute FTP 7
• GlobalSCAPE Cute FTP 8
• GlobalSCAPE Cute FTP Lite
• GlobalSCAPE Cute FTP Pro
• GoFTP
• GPSoftware
• leapftp
• LeapWare
• LeechFTP
• LinasFTP
• lpswitch WS_FTP
• MAS-Soft
• My FTP
• NCH Software Classic FTP
• NCH Software Fling
• NDSites
• NetDrive
• NetSarang
• NexusFile
• Nova FTP
• NPPFTP
• PuTTY
• RhinoSoft FTP Voyager
• Robo-FTP 3.7
• SmartFTP
• SoftX.org FTP Client
• Staff-FTP
• TurboFTP
• Ultra FXP
• VanDyke SecureFX
• Visicom Media
• WebDrive
• WinFTP
• WinSCP
• WinZip FTP
• Wise FTP

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• Username
• Password
• User ID
• Host Address
• Directory List
• Port Number
• Terminal Type
• Server Name
• Server Type

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• IncrediMail
• Microsoft Outlook
• Microsoft Windows Live Mail
• Microsoft Windows Mail
• Poco Systems Pocomail
• RIT The Bat!
• Thunderbird

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Bromium
• Chromium
• Comodo
• Epic
• FastStone Browser
• Flock
• Google Chrome
• K-Meleon
• MapleStudio ChromePlus
• Mozilla Firefox
• Mozilla SeaMonkey
• Nichrome
• Opera
• RockMelt
• Yandex
• Internet Explorer

スパイウェアは、以下のユーザ名およびパスワードのリストを用いて、上述の情報が保存されているパスワード保護された場所にアクセスします。

• 123456
• password
• phpbb
• qwerty
• 12345
• jesus
• 12345678
• abc123
• letmein
• password1
• hello
• monkey
• dragon
• trustno1
• 111111
• iloveyou
• 1234567
• shadow
• 123456789
• christ
• sunshine
• master
• computer
• princess
• tigger
• football
• angel
• jesus1
• 123123
• whatever
• freedom
• killer
• soccer
• superman
• michael
• cheese
• internet
• joshua
• fuckyou
• blessed
• baseball
• starwars
• 000000
• purple
• jordan
• faith
• summer
• ashley
• buster
• heaven
• pepper
• 7777777
• hunter
• lovely
• andrew
• thomas
• angels
• charlie
• daniel
• jennifer
• single
• hannah
• qazwsx
• happy
• matrix
• aaaaaa
• 654321
• amanda
• nothing
• ginger
• mother
• snoopy
• jessica
• welcome
• pokemon
• iloveyou1
• 11111
• mustang
• helpme
• justin
• jasmine
• orange
• testing
• apple
• michelle
• peace
• secret
• grace
• william
• iloveyou2
• nicole
• 666666
• muffin
• gateway
• fuckyou1
• asshole
• hahaha
• blessing
• blahblah
• myspace1
• matthew
• canada
• silver
• robert
• forever
• asdfgh
• rachel
• rainbow
• guitar
• peanut
• batman
• cookie
• bailey
• soccer1
• mickey
• biteme
• hello1
• eminem
• dakota
• samantha
• compaq
• diamond
• taylor
• forum
• john316
• richard
• blink182
• peaches
• flower
• scooter
• banana
• james
• asdfasdf
• victory
• london
• 123qwe
• 123321
• startrek
• george
• winner
• maggie
• trinity
• online
• 123abc
• chicken
• junior
• chris
• passw0rd
• austin
• sparky
• admin
• merlin
• google
• friends
• shalom
• nintendo
• looking
• harley
• smokey
• joseph
• lucky
• digital
• thunder
• spirit
• bandit
• enter
• anthony
• corvette
• hockey
• power
• benjamin
• iloveyou!
• 1q2w3e
• viper
• genesis
• knight
• qwerty1
• creative
• foobar
• adidas
• rotimi
• slayer
• wisdom
• P4$$

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}3.com/ba1/gate.php

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアは、実行後、自身を削除します。

マルウェアは、脆弱性を利用した感染活動を行いません。

＜補足＞
インストール

スパイウェアは、以下のファイルを作成し実行します。このファイルは、最初に実行された自身のコピーを削除します。

• %User Temp%\{ランダムな数}.bat

ダウンロード活動

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{ランダムな数}.exe

情報漏えい

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• ユーザ名
• パスワード
• ユーザID
• ホストアドレス
• ディレクトリ一覧
• ポート番号
• 端子タイプ
• サーバの名前
• サーバタイプ