TSPY_FAREIT.CERW

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成し実行します。

• %User Temp%\{random numbers}.bat (deletes itself and the initial malware copy)

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{random hex values}"

HKEY_CURRENT_USER\Software\WinRAR
Client Hash = "{random hex values}"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}anwebs.com/wp-content/plugins/feedweb_data/k1.exe
• http://{BLOCKED}cozumleri.com/wp-content/plugins/feedweb_data/k1.exe
• http://{BLOCKED}b.se/wp-content/plugins/feedweb_data/k1.exe
• http://{BLOCKED}zalin.pl/images/k1.exe

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random number}.exe - detected as TROJ_ZBOT.UYAP

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

情報漏えい

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32BitFtp
• 3D-FTP
• AceBIT
• BitKinex
• BulletProof FTP
• CoffeeCup
• Cryer Web Site Publisher
• Cyberduck
• DeluxeFTP
• EasyFTP
• Epic
• Estsoft ALFTP
• ExpanDrive
• Far/Far2/Far Manager
• FastTrackFTP
• FileZilla
• FireFTP
• FlashFXP
• FlashPeak BlazeFtp
• FreshFTP
• Frigate3
• FTP Commander
• FTP CONTROL
• FTP Explorer
• FTP Navigator
• FTP Now
• FTP Voyager
• FTP++
• FtpDirectory
• FTPGetter
• FTPRush
• FTPShell
• FTPWare COREFTP
• Ghisler Total Commander
• Ghisler Windows Commander
• Global Downloader
• GlobalSCAPE CuteFTP
• GlobalSCAPE CuteFTP 6 Home
• GlobalSCAPE CuteFTP 6 Professional
• GlobalSCAPE CuteFTP 7 Home
• GlobalSCAPE CuteFTP 7 Professional
• GlobalSCAPE CuteFTP 8 Home
• GlobalSCAPE CuteFTP 8 Professional
• GlobalSCAPE CuteFTP Lite
• GlobalSCAPE CuteFTP Pro
• GoFTP
• GPSoftware Directory Opus
• INSoftware NovaFTP
• Ipswitch WS_FTP
• LeapWare
• LeechFTP
• LinasFTP
• Martin Prikryl WinSCP
• MAS-Soft
• My FTP
• NCH Software Classic FTP
• NCH Software Fling
• NetDrive
• NetSarang
• NexusFile
• Nico Mak Computing WinZip FTP
• Notepad++NppFTP
• Odin Secure FTP Expert
• PuTTY
• RhinoSoft
• Robo-FTP 3.7
• SiteDesigner
• SmartFTP
• SoftX
• Sota FFFTP
• Staff-FTP
• TurboFTP
• UltraFXP
• VanDyke SecureFX
• Visicom Media’s AceFTP
• WebDrive
• WinFTP
• Wise-FTP
• Yandex

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• Password
• User ID
• Server Type
• Server Name
• Port Number
• Directory List

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Becky! by RimArts Inc.
• IncrediMail
• Microsoft Outlook
• Mozilla Thunderbird
• Pocomail
• The Bat! by RITLabs.
• Windows Live Mail
• Windows Mail

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Bromium
• ChromePlus
• Chromium
• Comodo
• Epic Browser
• FastStone Browser
• GoogleChrome
• K-Meleon
• Microsoft Internet Explorer
• Mozilla Firefox, SeaMonkey and Flock
• Nichrome
• Opera
• Rockmelt

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}ormatdocer.com/gate.php
• http://{BLOCKED}oskalskiy.com/gate.php
• http://{BLOCKED}kvmoskalii.com/gate.php