TSPY_FAREIT.MIR

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

侵入方法

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• JS_BLACKOLE.MIR

インストール

スパイウェアは、実行後、自身を削除します。

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{random value}"

HKEY_CURRENT_USER\Software\WinRAR
Client Hash = "{random value}"

HKEY_CURRENT_USER\Software\WinRAR
{random characters} = "{random value}"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}n-node.com/6.exe
• http://{BLOCEKD}n-node.com/1.exe?c=1

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random numbers}.exe - detected as TROJ_FAKEAV.MIR

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}apis.com/gate.php
• http://{BLOCKED}n-node.com/gate.php
• http://{BLOCKED}ic-a.akamaihd.net/gate.php
• http://l.{BLOCKED}g.com/gate.php
• http://{BLOCKED}-cdn-node.com/gate.php
• http://{BLOCKED}1.{BLOCKED}b.{BLOCKED}s.com/gate.php
• http://{BLOCKED}3.{BLOCKED}r.ovi.com/gate.php