TSPY_FAREIT.OSH

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ダウンロードしたファイルを実行します。

スパイウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• %User Temp%\{random digit}.bat - Used to delete its initially executed copy

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{random value}"

HKEY_CURRENT_USER\Software\WinRAR
Client Hash = "{random value}"

HKEY_CURRENT_USER\Software\WinRAR
{random} = "true"

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.165.68/KQecCgi.exe
• http://{BLOCKED}pingbusiness.com/N jNU7oo.exe
• http://{BLOCKED}h.de/1KHahg0e.exe

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random}.exe - detected as TSPY_ZBOT.OSH

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、ダウンロードしたファイルを実行します。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Signing Certificates of executables and drivers

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32BitFtp
• ALFTP
• AceBIT
• AceFTP
• BitKinex
• BlazeFtp
• BulletProof FTP
• ClassicFTP
• CoffeeCup Software
• Cyberduck
• DeluxeFTP
• Directory Opus
• EasyFTP
• ExpanDrive
• FFFTP
• FTP Commander
• FTP Explorer
• FTP Navigator
• FTPGetter
• FTPNow
• FTPRush
• FTPShell
• FTPVoyager
• FTPWare
• FarManager
• FileZilla
• FlashFXP
• Fling FTP
• FreshFTP
• Ghisler
• GlobalSCAPE CuteFTP 6 Home
• GlobalSCAPE CuteFTP 6 Professional
• GlobalSCAPE CuteFTP
• GlobalSCAPE CuteFTP 7 Home
• GlobalSCAPE CuteFTP 7 Professional
• GlobalSCAPE CuteFTP 8 Home
• GlobalSCAPE CuteFTP 8 Professional
• GlobalSCAPE CuteFTP Lite
• GlobalSCAPE CuteFTP Pro
• LeapWare
• LeechFTP
• LinasFTP
• MAS-Soft FTPInfo
• My FTP
• NetDrive
• NetSarang
• NexusFile
• NovaFTP
• NppFTP
• Odin Secure FTP Expert
• PuTTY
• RhinoSoft
• Robo-FTP 3.7
• SecureFX
• SmartFTP
• Staff-FTP
• TurboFTP
• UltraFXP
• WS_FTP
• WebDrive
• WebSitePublisher
• WinFTP
• WinSCP

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• Password
• User ID
• Server Type
• Server Name
• Port Number
• Directory List

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Windows Live Mail
• Windows Mail
• Pocomail
• IncrediMail
• BatMail
• Outlook
• ThunderBird

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Opera
• Mozilla Firefox
• SeaMonkey
• Flock
• Google Chrome
• Chromium
• ChromePlus
• Bromium
• Nichrome
• Comodo
• RockMelt
• K-Meleon
• Epic Browser
• FastStone Browser

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}i.{BLOCKED}hniker.de:8080/forum/viewtopic.php
• http://mail.{BLOCKED}im.com:8080/forum/viewtopic.php
• http://{BLOCKED}ra.com/forum/viewtopic.php
• http://{BLOCKED}racenter.com/forum/viewtopic.php