TSPY_FAREIT.YOI

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、2015年3月に確認されたランサムウェア「Cryptowall 3.0」による攻撃に関連しています。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %User Temp%\{7 random numbers}.bat

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

スパイウェアは、以下のプロセスを追加します。

• cmd.exe (uses the dropped .bat file)

スパイウェアは、実行後、自身を削除します。

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{GUID}"

HKEY_CURRENT_USER\Software\WinRAR
Client Hash = "{Random Value}"

情報漏えい

スパイウェアは、以下の情報を収集します。

• Cryptographic certificates

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• Far Manager
• Total Commander
• WS_FTP
• GlobalSCAPE CuteFTP 6 Home
• GlobalSCAPE CuteFTP 6 Professional
• GlobalSCAPE CuteFTP 7 Home
• GlobalSCAPE CuteFTP 7 Professional
• GlobalSCAPE CuteFTP 8 Home
• GlobalSCAPE CuteFTP 8 Professional
• GlobalSCAPE CuteFTP
• GlobalSCAPE CuteFTP Pro
• GlobalSCAPE CuteFTP Lite
• FlashFXP
• FileZilla
• FTP Navigator
• FTP Commander
• BulletProof FTP
• SmartFTP
• TurboFTP
• CoreFTP
• FTP Explorer
• UltraFXP
• FTPRush
• BitKinex
• Frigate3
• WebSitePublisher
• SecureFX
• ExpanDrive
• FFFTP
• ClassicFTP
• Fling FTP
• SoftX FTPClient
• Directory Opus
• LeapFTP
• 32BitFtp
• WebDrive
• Wise-FTP
• FTPVoyager
• FireFTP
• LeechFTP
• WinFTP
• FTPGetter
• ALFTP
• DeluxeFTP
• Epic
• Staff-FTP
• FreshFTP
• BlazeFT
• GoFTP
• 3D-FTP
• EasyFTP
• NetSarang
• FTPNow
• Robo-FTP
• LinasFTP
• CyberDuck
• PuTTY
• NppFTP
• CoffeeCup Software
• FTPShell
• MAS-Soft FTPInfo
• NexusFile
• WinZip
• NovaFTP
• Odin Secure FTP Expert

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• Username
• Password
• User ID
• Host Address
• Directory List
• Port Number
• Terminal Type
• Server Name
• Server Type

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Windows Live Mail
• Windows Mail
• Pocomail
• Incredimail
• BatMail
• The Bat!
• Internet Account Manager
• Microsoft Outlook
• Thunderbird
• FastTrack
• Windows Live Mail
• Windows Mail
• Pocomail
• Incredimail
• BatMail
• The Bat!
• Internet Account Manager
• Microsoft Outlook
• Thunderbird
• FastTrack

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Opera
• Mozilla
• SeaMonkey
• Internet Explorer
• Google Chrome
• Chromium
• ChromePlus
• Bromium
• Nichrome
• Comodo
• RockMelt
• K-Meleon
• FastStone
• Yandex
• Flock

スパイウェアは、以下のユーザ名およびパスワードのリストを用いて、上述の情報が保存されているパスワード保護された場所にアクセスします。

• samantha
• michelle
• david
• eminem
• scooter
• asdfasdf
• sammy
• baby
• diamond
• maxwell
• 55555
• justin
• james
• chicken
• danielle
• iloveyou2
• fuckoff
• prince
• junior
• rainbow
• 112233
• fuckyou1
• 1
• nintendo
• peanut
• none
• church
• bubbles
• robert
• 222222
• destiny
• loving
• gfhjkm
• mylove
• jasper
• hallo
• 123321
• cocacola
• helpme
• nicole
• guitar
• billgates
• looking
• scooby
• joseph
• genesis
• forum
• emmanuel
• cassie
• victory
• passw0rd
• foobar
• ilovegod
• nathan
• blabla
• digital
• peaches
• football1
• 11111111
• power
• thunder
• gateway
• iloveyou!
• football
• tigger
• corvette
• angel
• killer
• creative
• 123456789
• google
• zxcvbnm
• startrek
• ashley
• cheese
• a
• sunshine
• christ
• 000000
• soccer
• qwerty1
• friend
• summer
• 1234567
• merlin
• phpbb
• 12345678
• jordan
• saved
• dexter
• viper
• winner
• sparky
• windows
• 123abc
• lucky
• anthony
• jesus
• ghbdtn
• admin
• hotdog
• baseball
• password1
• dragon
• trustno1
• jason
• internet
• mustdie
• john
• letmein
• 123
• mike
• knight
• jordan23
• abc123
• red123
• praise
• freedom
• jesus1
• 12345
• london
• computer
• microsoft
• muffin
• qwert
• mother
• master
• 111111
• qazwsx
• samuel
• canada
• slayer
• rachel
• onelove
• qwerty
• prayer
• iloveyou1
• whatever
• god
• password
• blessing
• snoopy
• 1q2w3e4r
• cookie
• 11111
• chelsea
• pokemon
• hahaha
• aaaaaa
• hardcore
• shadow
• welcome
• mustang
• 654321
• bailey
• blahblah
• matrix
• jessica
• stella
• benjamin
• testing
• secret
• trinity
• richard
• peace
• shalom
• monkey
• iloveyou
• thomas
• blink182
• jasmine
• purple
• test
• angels
• grace
• hello
• poop
• blessed
• 1234567890
• heaven
• hunter
• pepper
• john316
• cool
• buster
• andrew
• faith
• ginger
• 7777777
• hockey
• hello1
• angel1
• superman
• enter
• daniel
• 123123
• forever
• nothing
• dakota
• kitten
• asdf
• 1111
• banana
• gates
• flower
• taylor
• lovely
• hannah
• princess
• compaq
• jennifer
• myspace1
• smokey
• matthew
• harley
• rotimi
• fuckyou
• soccer1
• 123456
• single
• joshua
• green
• 123qwe
• starwars
• love
• silver
• austin
• michael
• amanda
• 1234
• charlie
• bandit
• chris
• happy
• hope
• maggie
• maverick
• online
• spirit
• george
• friends
• dallas
• adidas
• 1q2w3e
• 7777
• orange
• testtest
• asshole
• apple
• biteme
• 666666
• william
• mickey
• asdfgh
• wisdom
• batman
• pass

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}amap.com/administrator/lib/cheapoakley.php
• http://{BLOCKED}leds.com/upload/images/images.php
• http://{BLOCKED}old.com/img/t/t.php
• http://www.{BLOCKED}e.mx/wp-includes/images/images.php
• http://www.{BLOCKED}w.nl/wp-includes/pomo/pomo.php
• http://www.{BLOCKED}ved.nl/wp-content/themes/themes.php
• http://www.{BLOCKED}osting.nl/wp-includes/theme-compat/ips_kernel.php

スパイウェアが追加する以下のプロセスは、作成された拡張子".bat"のファイルを利用します。

• cmd.exe

スパイウェアは、暗号化認証情報を収集します。

スパイウェアが収集するアカウント情報は、以下のとおりです。

• ユーザ名
• パスワード
• ユーザID
• ホストアドレス
• ディレクトリのリスト
• ポート番号
• ターミナルタイプ
• サーバ名
• サーバタイプ