TSPY_FAREIT.RLG

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェア マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %User Temp%\{random numbers}.bat

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下のプロセスを追加します。

• cmd.exe (to execute %User Temp%\{random characters}.bat)

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{GUID}"

情報漏えい

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 3D-FTP
• AceBIT
• ALFTP
• Bear Share
• BitKinex
• BlazeFTP
• BulletProof Software
• ClassicFTP
• CoffeeCup Software
• COREFTP
• CuteFTP
• CuteFTP 6 Home
• CuteFTP 6 Professional
• CuteFTP 7 Home
• CuteFTP 7 Professional
• CuteFTP 8 Home
• CuteFTP 8 Professional
• CuteFTP 9
• CuteFTP Lite
• CuteFTP Pro
• Cyberduck
• DeluxeFTP
• Directory Opus
• EasyFTP
• ExpanDrive
• FastTrack
• FFFTP
• FileZilla
• FlashFXP 3
• FlashFXP 4
• Frigate3
• FTP Commander
• FTP Explorer
• FTP Navigator
• FTP Rush
• FTPDisk
• FTPGetter
• FTPNow
• FTPRush
• FTPVoyager
• Ghisler
• Ipswitch WS_FTP
• LeapFTP
• LeechFTP
• LinasFTP
• NetDrive
• NetSarang
• Nico Mak Computing WinZip FTP
• NovaFTP
• NppFTP
• PuTTY
• QCToolbar Software
• RhinoSoft
• Robo-FTP 3.7
• SecureFX
• SmartFTP
• Staff-FTP
• Total Commander
• TurboFTP
• UltraFXP
• WinFTP

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• Directory list
• Password
• Port Number
• Server Name
• Server Type
• User Name

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• IncrediMail
• Outlook
• Pocomail Software
• RimArts
• Thunderbird
• Windows Live Mail
• BatMail
• Yandex

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Chrome
• ChromePlus
• Chromium
• FlashPeak
• Flock
• Internet Explorer
• K-Meleon
• Mozilla Firefox
• Opera
• SeaMonkey
• RockMelt
• Bromium

スパイウェアは、以下のユーザ名およびパスワードのリストを用いて、上述の情報が保存されているパスワード保護された場所にアクセスします。

• diamond
• maxwell
• 55555
• justin
• james
• chicken
• danielle
• iloveyou2
• fuckoff
• prince
• junior
• rainbow
• 112233
• fuckyou1
• 1
• nintendo
• peanut
• none
• church
• bubbles
• robert
• 222222
• destiny
• loving
• gfhjkm
• mylove
• jasper
• hallo
• 123321
• cocacola
• helpme
• nicole
• guitar
• billgates
• looking
• scooby
• joseph
• genesis
• forum
• emmanuel
• cassie
• victory
• passw0rd
• foobar
• ilovegod
• nathan
• blabla
• digital
• peaches
• football1
• 11111111
• power
• thunder
• gateway
• iloveyou!
• football
• tigger
• corvette
• angel
• killer
• creative
• 123456789
• google
• zxcvbnm
• startrek
• ashley
• cheese
• a
• sunshine
• christ
• 000000
• soccer
• qwerty1
• friend
• summer
• 1234567
• merlin
• phpbb
• 12345678
• jordan
• saved
• dexter
• viper
• winner
• sparky
• windows
• 123abc
• lucky
• anthony
• jesus
• ghbdtn
• admin
• hotdog
• baseball
• password

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• www.{BLOCKED}leds.com/upload/images.php
• www.{BLOCKED}mold.com/img/t/t.php
• www.{BLOCKED}w.nl/wp-includes/pomo/pomo.php
• www.{BLOCKED}served.nl/wp-content/themes/themes.php
• www.{BLOCKED}tipostings.nl/wp-includes/theme-compat/ips_kernel.php
• www.{BLOCKED}ikate.mx/wp-includes/images/images.php

その他

スパイウェア は、自身（コンピュータに侵入して最初に自身のコピーを作成した スパイウェア ）を削除します。