TSPY_FAREIT.THFADAH

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• %Windows%\Microsoft.NET\Framework\v{version number}\cvtres.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• %MUTEX%

スパイウェアは、以下のプロセスにコードを組み込みます。

• created cvtres.exe

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
HWID = {hex values}

作成活動

スパイウェアは、以下のファイルを作成します。

• %User Temp%\{random numbers}.bat ← Deletes cvtres.exe and itself.

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}site.ru/shit.exe

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32BitFtp
• 3D-FTP
• AceBIT
• Adobe
• BitKinex
• BlazeFtp
• Bullet Proof FTP
• CoffeeCup Software
• Core FTP
• Cryer WebSitePublisher
• CuteFTP
• CuteFTP Lite
• CuteFTP Pro
• Cyberduck
• DeluxeFTP
• EasyFTP
• Estsoft ALFTP
• ExpanDrive
• FTP Commander
• FTP Explorer
• FTP Navigator
• FTP Now
• FTPGetter
• FTPRush
• FTPShell
• Far Manager
• FastTrack FTP
• FileZilla
• FireFTP
• FlashFXP 3
• FlashFXP 4
• FreshFTP
• Frigate3
• GPSoftware Directory Opus
• Ghisler Total Commander
• Global Downloader
• GlobalSCAPE CuteFTP 6 Home
• GlobalSCAPE CuteFTP 6 Professional
• GlobalSCAPE CuteFTP 7 Home
• GlobalSCAPE CuteFTP 7 Professional
• GlobalSCAPE CuteFTP 8 Home
• GlobalSCAPE CuteFTP 8 Professional
• GoFTP
• INSoftware NovaFTP
• Ipswitch WS_FTP
• LeapWare LeapFTP
• LeechFTP
• LinasFTP
• MAS-Soft FTPInfo
• MS IE FTP
• Martin Prikryl WinSCP
• My FTP
• NCH Software ClassicFTP
• NCH Software Fling
• NetDrive
• NetSarang
• NexusFile
• Nico Mak Computing WinZip
• Notepad++ NppFTP
• Odin Secure FTP Expert
• Opera Software
• RhinoSoft FTP Voyager
• Robo-FTP 3.7
• SFTP
• SimonTatham PuTTY
• SmartFTP
• SoftX FTP Client
• Sota FFFTP
• South River Technologies WebDrive
• Staff-FTP
• TurboFTP
• UltraFXP
• VanDyke SecureFX
• Visicom Media
• WinFtp Client

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• Username
• Password
• User ID
• Host Address
• Directory List
• Port Number
• Terminal Type
• Server Name
• Server Type

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Microsoft Windows Live Mail
• Poco Systems Pocomail
• IncrediMail
• Microsoft Windows Mail
• Becky! Internet Mail - RimArts Inc.
• The Bat! BatMail
• Microsoft Outlook
• Thunderbird

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Bromium
• ChromePlus
• Chromium
• Comodo
• Epic
• FastStone Browser
• Flock
• Google Chrome
• Internet Explorer
• K-Meleon
• MapleStudio ChromePlus
• Mozilla Firefox
• Mozilla SeaMonkey
• Nichrome
• Opera
• RockMelt
• Yandex

スパイウェアは、以下のユーザ名およびパスワードのリストを用いて、上述の情報が保存されているパスワード保護された場所にアクセスします。

• 000000
• 1111
• 11111
• 111111
• 123123
• 123321
• 1234
• 12345
• 123456
• 1234567
• 12345678
• 123456789
• 123abc
• 123qwe
• 1q2w3e
• 654321
• 666666
• 7777
• 7777777
• aaaaaa
• abc123
• adidas
• admin
• amanda
• andrew
• angel
• angels
• anthony
• apple
• asdf
• asdfasdf
• asdfgh
• ashley
• asshole
• austin
• bailey
• banana
• bandit
• baseball
• batman
• benjamin
• biteme
• blahblah
• blessed
• blessing
• blink182
• buster
• canada
• charlie
• cheese
• chicken
• chris
• christ
• compaq
• computer
• cookie
• cool
• corvette
• creative
• dakota
• daniel
• diamond
• digital
• dragon
• eminem
• enter
• faith
• flower
• foobar
• football
• forever
• forum
• freedom
• friends
• fuckyou
• fuckyou1
• gateway
• genesis
• george
• ginger
• google
• grace
• guitar
• hahaha
• hannah
• happy
• harley
• heaven
• hello
• hello1
• helpme
• hockey
• hope
• hunter
• iloveyou
• iloveyou!
• iloveyou1
• iloveyou2
• internet
• james
• jasmine
• jennifer
• jessica
• jesus
• jesus1
• john316
• jordan
• joseph
• joshua
• junior
• justin
• killer
• knight
• letmein
• london
• looking
• love
• lovely
• lucky
• maggie
• master
• matrix
• matthew
• merlin
• michael
• michelle
• mickey
• monkey
• mother
• muffin
• mustang
• myspace1
• nicole
• nintendo
• nothing
• online
• orange
• pass
• passw0rd
• password
• password1
• peace
• peaches
• peanut
• pepper
• phpbb
• pokemon
• poop
• power
• princess
• purple
• qazwsx
• qwerty
• qwerty1
• rachel
• rainbow
• richard
• robert
• rotimi
• samantha
• scooter
• secret
• shadow
• shalom
• silver
• single
• slayer
• smokey
• snoopy
• soccer
• soccer1
• sparky
• spirit
• startrek
• starwars
• summer
• sunshine
• superman
• taylor
• test
• testing
• thomas
• thunder
• tigger
• trinity
• trustno1
• victory
• viper
• welcome
• whatever
• william
• winner
• wisdom

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}tsigorta.com/panel/gate.php