TSPY_FAREIT.YYLU

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\10S6qOI0.bat
• %User Temp%\Z7KkJ10u.bat
• %User Temp%\AjWE0813g.bat
• %User Temp%\AUEZBigq1.bat
• %User Temp%\AWpWt45q2.vbs
• %User Temp%\AZaiCN74X.vbs
• %User Temp%\A14dXXJTy.exe
• %User Temp%\AzgkI31Lg.exe
• %User Temp%\file.exe.[2-62].da4inka - 1 separate file per number
• %User Temp%\uche.exe.[2-62].da4inka - 1 separate file per number

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\WinRAR

HKEY_CURRENT_USER\Software\WinRAR SFX

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
Client Hash = "{hex values}"

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{hex values}"

HKEY_CURRENT_USER\Software\WinRAR SFX
%User Temp% = "%User Temp%"

情報漏えい

スパイウェアは、以下の情報を収集します。

• Cryptographic certificates

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• Far Manager
• Total Commander
• WS_FTP
• GlobalSCAPE CuteFTP 6 Home
• GlobalSCAPE CuteFTP 6 Professional
• GlobalSCAPE CuteFTP 7 Home
• GlobalSCAPE CuteFTP 7 Professional
• GlobalSCAPE CuteFTP 8 Home
• GlobalSCAPE CuteFTP 8 Professional
• GlobalSCAPE CuteFTP
• GlobalSCAPE CuteFTP Pro
• GlobalSCAPE CuteFTP Lite
• FlashFXP
• FileZilla
• FTP Navigator
• FTP Commander
• BulletProof FTP
• SmartFTP
• TurboFTP
• CoreFTP
• FTP Explorer
• UltraFXP
• FTPRush
• BitKinex
• Frigate3
• WebSitePublisher
• SecureFX
• ExpanDrive
• FFFTP
• ClassicFTP
• Fling FTP
• SoftX FTPClient
• Directory Opus
• LeapFTP
• 32BitFtp
• WebDrive
• Wise-FTP
• FTPVoyager
• FireFTP
• LeechFTP
• WinFTP
• FTPGetter
• ALFTP
• DeluxeFTP
• Epic
• Staff-FTP
• FreshFTP
• BlazeFT
• GoFTP
• 3D-FTP
• EasyFTP
• NetSarang
• FTPNow
• Robo-FTP
• LinasFTP
• CyberDuck
• PuTTY
• NppFTP
• CoffeeCup Software
• FTPShell
• MAS-Soft FTPInfo
• NexusFile
• WinZip
• NovaFTP
• Odin Secure FTP Expert

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• Username
• Password
• User ID
• Host Address
• Directory List
• Port Number
• Terminal Type
• Server Name
• Server Type

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Windows Live Mail
• Windows Mail
• Pocomail
• Incredimail
• BatMail
• The Bat!
• Internet Account Manager
• Microsoft Outlook
• Thunderbird
• FastTrack
• Windows Live Mail
• Windows Mail
• Pocomail
• Incredimail
• BatMail
• The Bat!
• Internet Account Manager
• Microsoft Outlook
• Thunderbird
• FastTrack

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Opera
• Mozilla
• SeaMonkey
• Internet Explorer
• Google Chrome
• Chromium
• ChromePlus
• Bromium
• Nichrome
• Comodo
• RockMelt
• K-Meleon
• FastStone
• Yandex
• Flock

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}epereira.com.br/br/wp-content/plugins/revslider/temp/xml/gate.php
• http://{BLOCKED}epereira.com.br/br/wp-includes/certificates/id/gate.php