TSPY_LOKI.XD

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

スパイウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• W2KM_DLOADER.XD

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder name}\{random filename}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random folder name}\{random filename}.lck

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Hash of Machine GUID}

情報漏えい

スパイウェアは、以下の情報を収集します。

• User name
• Computer Name

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32Bitftp
• 9bis.com KiTTY
• AbleFTP
• BitKinex
• Bitvise BvSshClient
• DeluxeFTP
• EasyFTP
• Estsoft ALFTP
• ExpanDrive
• Far Manager
• Fastream NETFile
• FileZilla
• FlashFXP
• Flashpeak BlazeFtp
• FreshWebmaster FreshFTP
• FTP Navigator
• FTP Now
• FTPBox
• FTPGetter
• FTPInfo
• FTPShell
• GHISLER Total Commander
• GoFTP
• INSoftware NovaFTP
• IpSwitch WS_FTP
• iterate_GmbH Cyberduck
• JasFtp
• LinasFTP
• Martin Prikryl WinSCP
• NCH Software ClassicFTP
• NCH Software Fling
• NetDrive
• NetSarang Xftp
• NexusFile
• Notepad++ NppFTP
• Odin Secure FTP Expert
• oZone3D MyFTP
• Sherrod FTP
• SimonTatham PuTTY
• SmartFTP
• Staff-FTP
• SuperPutty
• UltraFXP
• VanDyke SecureFX
• WinFtp Client

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• FossaMail
• Foxmail
• Incredimail
• Outlook
• Postbox
• Thunderbird

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• 360 Browser
• 8pecxstudios Cyberfox
• Apple Computer Safari
• Catalina Group Citrio
• Chromium
• Chromodo
• CocCoc
• Comodo Dragon
• Comodo IceDragon
• Coowon
• Epic Privacy Browser
• Flock Browser
• Google Chrome
• Google Chrome SxS
• Internet Explorer
• Iridium
• K-Meleon
• LunaScape6
• Maplestudio Chromeplus
• Moonchild Productions Pale Moon
• Mozilla Firefox
• Mozilla Seamonkey
• Mozilla Waterfox
• Mustang Browser
• NETGATE Technologies Blackhawk
• Nichrome
• Opera
• Opera Next
• Orbitum
• QtWeb Internet Browser
• QupZilla
• Rockmelt
• Spark
• Superbird
• Titan Browser
• Torch
• Vivaldi
• YandexBrowser

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}erowybank.pl/images/gini/five/fre.php

その他

スパイウェアは、実行後、自身を削除します。