TSPY_FAREIT.CDX

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、実行後、自身を削除します。

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{GUID}"

HKEY_CURRENT_USER\Software\WinRAR
Client Hash = "{Random Value}"

HKEY_CURRENT_USER\Software\WinRAR
{Random} = "{Random Value}"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://www.{BLOCKED}nehelp.com/Pefyi.exe
• http://{BLOCKED}my.com/ep9C.exe
• http://preview.{BLOCKED}-trainers.com/V2YE.exe
• http://www.{BLOCKED}eteventspace.com/7UNFVh.exe

トレンドマイクロの製品では、ダウンロードしたファイルを以下として検出します。

• TSPY_ZBOT.SMAO

情報漏えい

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 3D-FTP
• ALFTP
• AceBIT
• BitKinex
• BlazeFtp
• Bullet Proof FTP
• ClassicFTP
• CoffeeCup
• CoreFTP
• CuteFTP
• Cyberduck
• EasyFTP
• ExpanDrive
• FFFTP
• FTP
• FTP Explorer
• FTPClient
• FTPNow
• FTPRush
• FTPShell
• FTPVoyager
• Far
• Far2
• FileZilla
• FlashFXP
• Fling
• Frigate3
• Ghisler
• LeapFTP
• LeechFTP
• LinasFTP
• NetDrive
• NetSarang
• NovaFTP
• PuTTY
• Robo-FTP
• SeaMonkey
• SecureFX
• SmartFTP
• Staff-FTP
• TurboFTP
• WS_FTP
• WebDrive
• WinFTP
• WinZip

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• Directory list
• Password
• Port Number
• Server Name
• Server Type
• User Name

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Chrome
• ChromePlus
• Chromium
• FastStone Browser
• Flock
• Internet Explorer
• K-Meleon
• Mozilla Firefox
• Opera Browser

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}king.net/ponyb/gate.php
• http://{BLOCKED}king.org/ponyb/gate.php
• http://{BLOCKED}aenergysuppliers.com/ponyb/gate.php
• http://{BLOCKED}aenergysuppliers.com/ponyb/gate.php