TrojanSpy.Win32.FAREIT.UHBAZCLIS

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを作成します。

• %System Root%\process

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
4X2YZW9UZIWEVE7WEMELTG = "%System Root%\process\FC78BA65645.exe"

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %Application Data%\Mozilla\Firefox\Profiles\lj5mikyj.default\cookies-nontor.xml
• %Application Data%\Mozilla\Firefox\Profiles\lj5mikyj.default\cookies.sqlite-journal
• %Application Data%\Mozilla\Firefox\Profiles\lj5mikyj.default\cookies.sqlite
• %AppDataLocal%\Microsoft\Windows\WebCache\V0100107.log
• %Application Data%\Mozilla\Firefox\Profiles\lj5mikyj.default\sessionstore.js
• %Application Data%\Mozilla\Firefox\Profiles\lj5mikyj.default\sessionstore.bak
• %Application Data%\Mozilla\Firefox\Profiles\lj5mikyj.default\cookies.txt

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft Windows
000000544B562374 = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft Windows
00000054ED520807 = "{random characters}"

HKEY_CURRENT_USER\Software\Microsoft Windows
0000005D13BD7654 = "{random characters}"

作成活動

スパイウェアは、以下のファイルを作成します。

• %User Temp%\6SQFC19.exe
• %System Root%\process
• %AppDataLocal%\Microsoft\Windows\WebCache\V01.log
• %AppDataLocal%\Microsoft\Windows\WebCache\V010010A.log
• %AppDataLocal%\Microsoft\Windows\WebCache\V01tmp.log
• %User Temp%\6SQA7F1.exe
• %AppDataLocal%\Microsoft\Windows\WebCache\V0100108.log
• %System Root%\process\25B47000A80F07C
• %AppDataLocal%\Microsoft\Windows\WebCache\V0100109.log
• %System Root%\process\FC78BA65645.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://www.{BLOCKED}oft.com
• http://{BLOCKED}y.biz
• http://{BLOCKED}rls.com
• http://{BLOCKED}rmore.com
• http://{BLOCKED}o.com
• {BLOCKED}17.237

このウイルス情報は、自動解析システムにより作成されました。