TSPY_FAREIT.KHT
Trojan.Zbot (Symantec), Win32/PSW.Fareit.A trojan (ESET), Troj/Zbot-DPQ (Sophos)
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
- マルウェアタイプ: スパイウェア
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
他のシステム変更
スパイウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\WinRAR
HWID = "{random GUID}"
ダウンロード活動
スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。
- http://{BLOCKED}.{BLOCKED}k.cz/9A0xtyL.exe
- http://www.{BLOCKED}razionesito.{BLOCKED}ista.org/9nvF.exe
- http://{BLOCKED}.{BLOCKED}.net-housting.de/1k5A.exe
- http://www.{BLOCKED}rvices.it/Ntx.exe
- http://{BLOCKED}elbot.com/hwk40m.exe
- http://ftp.{BLOCKED}utodedesarrollo.es/kvWcmHRw.exe
スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- %User Temp%\{random number}.exe - TSPY_ZBOT.KHT
(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)
情報漏えい
スパイウェアは、以下のインストールされたFile Transfer Protocol（FTP）クライアントまたはファイル管理ソフトウェア内で利用される、保存されたアカウント情報を収集します。
- AceFTP
- 32BitFtp
- 3D-FTP
- BPFTP
- BlazeFtp
- BulletProof FTP Client
- DeluxeFTP
- EasyFTP
- Estsoft
- FFFTP (Sota)
- FTP CONTROL
- FTP Commander
- FTP Explorer
- FTP Navigator
- FTP Now
- FTP++
- FTPCON
- FTPClient
- FTPGetter
- FTPRush
- FTPShell
- FTPVoyager
- FTPWare
- Far Manager
- FileZilla
- FreshFTP
- Ghisler
- GlobalSCAPE CuteFTP 6 Home
- GlobalSCAPE CuteFTP 6 Professional
- GlobalSCAPE CuteFTP 7 Home
- GlobalSCAPE CuteFTP 7 Professional
- GlobalSCAPE CuteFTP 8 Home
- GlobalSCAPE CuteFTP 8 Professional
- GoFTP
- Ipswitch WS_FTP
- LeapWare LeapFTP
- LeechFTP
- LinasFTP
- MAS-Soft FTPInfo
- MS IE FTP Passwords
- NCH Software ClassicFTP
- NovaFTP
- Robo-FTP 3.7
- SmartFTP
- SoftX.org FTPClient
- Staff-FTP
- TurboFTP
- WS_FTP
- WinFTP
- Ftp Winzip (Nico Mak Computing)
- Coffee Cup Free FTP
- PuTTY
- salt-ftp
スパイウェアは、上述のFile Transfer Protocol（FTP）クライアントまたはファイル管理ソフトウェアのいずれかから以下のアカウント情報を収集します。
- Directory list
- Password
- Port Number
- Server Name
- Server Type
- User Name
スパイウェアは、以下から保存されたEメールの認証情報を収集します。
- Outlook
- Windows Mail
- Windows Live Mail
- Pocomail
- IncrediMail
- BatMail
- Thunderbird
スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。
- FastStone Browser
- Flock Browser
- Google Chrome
- Internet Explorer
- K-Meleon
- Mozilla Firefox
- Opera Browser
- RockMelt
情報収集
スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。
- http://{BLOCKED}.{BLOCKED}.139.4/forum/viewtopic.php
- http://{BLOCKED}.{BLOCKED}.83.208/forum/viewtopic.php
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
「TSPY_FAREIT.KHT」 が作成またはダウンロードした不正なファイルを削除します。
- %User Temp%\{random number}.exe
手順 3
「TSPY_FAREIT.KHT」で検出したファイル名を確認し、そのファイルを終了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。
手順 4
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\WinRAR
- HWID = "{random GUID}"
- HWID = "{random GUID}"
手順 5
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_FAREIT.KHT」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください