TSPY_FAREIT.DMN

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

スパイウェアは、収集した情報を含むログファイルを暗号化します。

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %User Temp%\abcd.bat - Used to delete its initially executed copy

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、実行後、自身を削除します。

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{random value}"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

作成活動

スパイウェアは、収集した情報を保存するために以下のファイルを作成します。

• out.bin - (Deleted upon upload)

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}l.{BLOCKED}st.com/ziM4.exe
• http://{BLOCKED}ociates.com/HSj.exe
• http://{BLOCKED}.{BLOCKED}.50.5/h1bXVj.exe
• http://{BLOCKED}texporters.com/zuxG8.exe
• http://www.{BLOCKED}ogic.de/VE9N79S.exe

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random number}.exe - detected as TSPY_ZBOT.ASDF

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Signing Certificates of executables and drivers

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• FTPRush
• WebSitePublisher
• BitKinex
• ExpanDrive
• ClassicFTP
• Fling FTP
• Directory Opus
• CoffeeCup Software
• LeapWare
• WinSCP
• 32BitFtp
• NetDrive
• WebDrive
• AceBIT
• FTPVoyager
• RhinoSoft
• LeechFTP
• Odin Secure FTP Expert
• WinFTP
• FTPGetter
• ALFTP
• DeluxeFTP
• Staff-FTP
• AceFTP
• FreshFTP
• BlazeFtp
• EasyFTP
• NetSarang
• FTPNow
• LinasFTP
• PuTTY
• NppFTP
• FTPShell
• MAS-Soft FTPInfo
• NexusFile
• My FTP
• NovaFTP
• Robo-FTP 3.7
• Cyberduck
• FarManager
• Ghisler
• WS_FTP
• GlobalSCAPE CuteFTP 6 Home
• GlobalSCAPE CuteFTP 6 Professional
• GlobalSCAPE CuteFTP 7 Home
• GlobalSCAPE CuteFTP 7 Professional
• GlobalSCAPE CuteFTP 8 Home
• GlobalSCAPE CuteFTP 8 Professional
• GlobalSCAPE CuteFTP
• GlobalSCAPE CuteFTP Pro
• GlobalSCAPE CuteFTP Lite
• FlashFXP
• FileZilla
• FTP Navigator
• FTP Commander
• BulletProof FTP
• SmartFTP
• TurboFTP
• FFFTP
• FTPWare
• FTP Explorer
• UltraFXP
• SecureFX
• UltraFXP

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• Password
• User ID
• Server Type
• Server Name
• Port Number
• Directory List

スパイウェアは、以下から保存されたEメールの認証情報を収集します。

• Windows Live Mail
• Windows Mail
• Pocomail
• IncrediMail
• BatMail
• Outlook
• ThunderBird
• Becky! Internet Mail
• Fasttrack Mail

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Opera
• Mozilla Firefox
• SeaMonkey
• Flock
• Google Chrome
• Chromium
• ChromePlus
• Bromium
• Nichrome
• Comodo
• RockMelt
• K-Meleon
• Epic Browser
• FastStone Browser

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}hllc.com:81/ponyb/gate.php
• http://{BLOCKED}any.com:8080/ponyb/gate.php
• http://{BLOCKED}4.{BLOCKED}coastwoundcare.com/ponyb/gate.php
• http://{BLOCKED}4.{BLOCKED}ocoastwoundcare.com/ponyb/gate.php

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• http://www.facebook.com
• http://www.bing.com
• http://www.google.com

スパイウェアは、収集した情報を含むログファイルを暗号化します。