TSPY_FAREIT.RNM
PWS:Win32/Fareit (Microsoft); Trojan-PSW.Win32.Tepfer.uymh (Kaspersky)
Windows
![](/vinfo/imgFiles/JPlegend.jpg)
マルウェアタイプ:
スパイウェア
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
スパイウェアは、実行後、自身を削除します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、以下のファイルを作成します。
- %User Temp%\{7 random numbers}.bat
(註:%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。.)
スパイウェアは、以下のプロセスを追加します。
- cmd.exe (uses the dropped .bat file)
スパイウェアは、実行後、自身を削除します。
他のシステム変更
スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\WinRAR
HWID = "{GUID}"
HKEY_CURRENT_USER\Software\WinRAR
Client Hash = "{Random Value}"
情報漏えい
スパイウェアは、以下の情報を収集します。
- Cryptographic certificates
スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。
- Far Manager
- Total Commander
- WS_FTP
- GlobalSCAPE CuteFTP 6 Home
- GlobalSCAPE CuteFTP 6 Professional
- GlobalSCAPE CuteFTP 7 Home
- GlobalSCAPE CuteFTP 7 Professional
- GlobalSCAPE CuteFTP 8 Home
- GlobalSCAPE CuteFTP 8 Professional
- GlobalSCAPE CuteFTP
- GlobalSCAPE CuteFTP Pro
- GlobalSCAPE CuteFTP Lite
- FlashFXP
- FileZilla
- FTP Navigator
- FTP Commander
- BulletProof FTP
- SmartFTP
- TurboFTP
- CoreFTP
- FTP Explorer
- UltraFXP
- FTPRush
- BitKinex
- Frigate3
- WebSitePublisher
- SecureFX
- ExpanDrive
- FFFTP
- ClassicFTP
- Fling FTP
- SoftX FTPClient
- Directory Opus
- LeapFTP
- 32BitFtp
- WebDrive
- Wise-FTP
- FTPVoyager
- FireFTP
- LeechFTP
- WinFTP
- FTPGetter
- ALFTP
- DeluxeFTP
- Epic
- Staff-FTP
- FreshFTP
- BlazeFT
- GoFTP
- 3D-FTP
- EasyFTP
- NetSarang
- FTPNow
- Robo-FTP
- LinasFTP
- CyberDuck
- PuTTY
- NppFTP
- CoffeeCup Software
- FTPShell
- MAS-Soft FTPInfo
- NexusFile
- WinZip
- NovaFTP
- Odin Secure FTP Expert
スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。
- Username
- Password
- User ID
- Host Address
- Directory List
- Port Number
- Terminal Type
- Server Name
- Server Type
スパイウェアは、保存されている以下のEメール認証情報を収集します。
- Windows Live Mail
- Windows Mail
- Pocomail
- Incredimail
- BatMail
- The Bat!
- Internet Account Manager
- Microsoft Outlook
- Thunderbird
- FastTrack
- Windows Live Mail
- Windows Mail
- Pocomail
- Incredimail
- BatMail
- The Bat!
- Internet Account Manager
- Microsoft Outlook
- Thunderbird
- FastTrack
スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。
- Opera
- Mozilla
- SeaMonkey
- Internet Explorer
- Google Chrome
- Chromium
- ChromePlus
- Bromium
- Nichrome
- Comodo
- RockMelt
- K-Meleon
- FastStone
- Yandex
- Flock
スパイウェアは、以下のユーザ名およびパスワードのリストを用いて、上述の情報が保存されているパスワード保護された場所にアクセスします。
- samantha
- michelle
- david
- eminem
- scooter
- asdfasdf
- sammy
- baby
- diamond
- maxwell
- 55555
- justin
- james
- chicken
- danielle
- iloveyou2
- fuckoff
- prince
- junior
- rainbow
- 112233
- fuckyou1
- 1
- nintendo
- peanut
- none
- church
- bubbles
- robert
- 222222
- destiny
- loving
- gfhjkm
- mylove
- jasper
- hallo
- 123321
- cocacola
- helpme
- nicole
- guitar
- billgates
- looking
- scooby
- joseph
- genesis
- forum
- emmanuel
- cassie
- victory
- passw0rd
- foobar
- ilovegod
- nathan
- blabla
- digital
- peaches
- football1
- 11111111
- power
- thunder
- gateway
- iloveyou!
- football
- tigger
- corvette
- angel
- killer
- creative
- 123456789
- zxcvbnm
- startrek
- ashley
- cheese
- a
- sunshine
- christ
- 000000
- soccer
- qwerty1
- friend
- summer
- 1234567
- merlin
- phpbb
- 12345678
- jordan
- saved
- dexter
- viper
- winner
- sparky
- windows
- 123abc
- lucky
- anthony
- jesus
- ghbdtn
- admin
- hotdog
- baseball
- password1
- dragon
- trustno1
- jason
- internet
- mustdie
- john
- letmein
- 123
- mike
- knight
- jordan23
- abc123
- red123
- praise
- freedom
- jesus1
- 12345
- london
- computer
- microsoft
- muffin
- qwert
- mother
- master
- 111111
- qazwsx
- samuel
- canada
- slayer
- rachel
- onelove
- qwerty
- prayer
- iloveyou1
- whatever
- god
- password
- blessing
- snoopy
- 1q2w3e4r
- cookie
- 11111
- chelsea
- pokemon
- hahaha
- aaaaaa
- hardcore
- shadow
- welcome
- mustang
- 654321
- bailey
- blahblah
- matrix
- jessica
- stella
- benjamin
- testing
- secret
- trinity
- richard
- peace
- shalom
- monkey
- iloveyou
- thomas
- blink182
- jasmine
- purple
- test
- angels
- grace
- hello
- poop
- blessed
- 1234567890
- heaven
- hunter
- pepper
- john316
- cool
- buster
- andrew
- faith
- ginger
- 7777777
- hockey
- hello1
- angel1
- superman
- enter
- daniel
- 123123
- forever
- nothing
- dakota
- kitten
- asdf
- 1111
- banana
- gates
- flower
- taylor
- lovely
- hannah
- princess
- compaq
- jennifer
- myspace1
- smokey
- matthew
- harley
- rotimi
- fuckyou
- soccer1
- 123456
- single
- joshua
- green
- 123qwe
- starwars
- love
- silver
- austin
- michael
- amanda
- 1234
- charlie
- bandit
- chris
- happy
- hope
- maggie
- maverick
- online
- spirit
- george
- friends
- dallas
- adidas
- 1q2w3e
- 7777
- orange
- testtest
- asshole
- apple
- biteme
- 666666
- william
- mickey
- asdfgh
- wisdom
- batman
- pass
情報収集
スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。
- http://{BLOCKED}amap.com/administrator/lib/cheapoakley.php
- http://{BLOCKED}leds.com/upload/images/images.php
- http://{BLOCKED}old.com/img/t/t.php
- http://www.{BLOCKED}e.mx/wp-includes/images/images.php
- http://www.{BLOCKED}w.nl/wp-includes/pomo/pomo.php
- http://www.{BLOCKED}ved.nl/wp-content/themes/themes.php
- http://www.{BLOCKED}osting.nl/wp-includes/theme-compat/ips_kernel.php
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアのパス名およびファイル名を確認します。
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用いてウイルス検索を実行してください。「TSPY_FAREIT.RNM」で検出したパス名およびファイル名を確認し、メモ等をとってください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
Windowsをセーフモードで再起動します。
手順 5
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\WinRAR
- HWID = "{GUID}"
- HWID = "{GUID}"
- In HKEY_CURRENT_USER\Software\WinRAR
- Client Hash = "{Random Value}"
- Client Hash = "{Random Value}"
手順 6
以下のファイルを検索し削除します。
- %User Temp%\{7 random numbers}.bat
手順 7
コンピュータを通常モードで再起動し、最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、「TSPY_FAREIT.RNM」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください