TSPY_FAREIT.YYSNO
PWS:Win32/Fareit (Microsoft); Trojan-PSW.Win32.Fareit.gsg (Kaspersky); TrojanPSW.Fareit (VBA32); Win32/PSW.Fareit.G (ESET-NOD32);
Windows
マルウェアタイプ:
スパイウェア
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。
ただし、情報公開日現在、このWebサイトにはアクセスできません。
ただし、情報公開日現在、このWebサイトにはアクセスできません。 スパイウェアは、実行後、自身を削除します。
詳細
侵入方法
スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。
インストール
スパイウェアは、以下のファイルを作成し実行します。
- %User Temp%\{random numbers}.bat ← used to delete itself - deleted afterwards
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)
他のシステム変更
スパイウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\WinRAR
HWID = "{GUID}"
HKEY_CURRENT_USER\Software\WinRAR
Client Hash = "{hex value}"
HKEY_CURRENT_USER\Software\WinRAR
{random value} = "{true/false}"
ダウンロード活動
スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。
- http://{BLOCKED}i.com/system/logs/m1.exe
- http://{BLOCKED}d.{BLOCKED}rt.com/system/logs/m1.exe
- http://{BLOCKED}rt.{BLOCKED}formatique.com/system/logs/m1.exe
スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- %User Temp%\{random numbers}.exe
(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)
ただし、情報公開日現在、このWebサイトにはアクセスできません。
情報漏えい
スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。
- 32BitFtp
- 3D-FTP
- AceBit
- Adobe
- BulletProof FTP
- CoffeeCup Software
- Cryer WebSitePublisher
- Cyberduck
- DeluxeFTP
- EasyFTP
- Estsoft ALFTP
- ExpanDrive
- Far
- Far2
- Far Manager
- FastTrackFTP
- FileZilla
- fireFTP
- FlashFXP
- FlashFXP 3
- FlashFXP 4
- FlashPeak BlazeFtp
- FreshFTP
- Frigate3
- FTP Commander
- FTP Navigator
- FTP CONTROL
- FTP Explorer
- FTP Now
- FTP++
- FTPGetter
- FTP Rush
- FTPShell
- FTPWare COREFTP
- Ghisler Total Commander
- Ghisler Windows Commander
- GlobalDownloader
- GlobalSCAPE CuteFTP
- GlobalSCAPE CuteFTP Pro
- GlobalSCAPE CuteFTP Lite
- GlobalSCAPE CuteFTP 6 Home
- GlobalSCAPE CuteFTP 6 Professional
- GlobalSCAPE CuteFTP 7 Home
- GlobalSCAPE CuteFTP 7 Professional
- GlobalSCAPE CuteFTP 8 Home
- GlobalSCAPE CuteFTP 8 Professional
- GlobalSCAPE CuteFTP 9
- GoFTP
- GPSoftware Directory Opus
- INSoftware NovaFTP
- Ipswitch WS_FTP
- LeapWare LeapFTP
- LeachFTP
- LinasFTP
- Martin Prikryl
- MAS-Soft FTPInfo
- Maxprog FTP Disk
- My FTP
- NCH Software ClassicFTP
- NCH Software Fling
- NetDrive
- NetSarang
- NexusFile
- Nico Mak Computing WinZip FTP
- Notepad++ NppFTP
- Odin
- SimonTatham PuTTY
- RhinoSoft FTPVoyager
- Robo-FTP 3.7
- SmartFTP
- SoftX FTPClient
- Sota FFFTP
- South River Technologies WebDrive
- Staff-FTP
- TurboFTP
- UltraFXP
- VanDyke SecureFX
- Visicom Media
- WinFTP
スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。
- Username
- Password
- User ID
- Host Address
- Directory List
- Port Number
- Terminal Type
- Server Name
- Server Type
スパイウェアは、保存されている以下のEメール認証情報を収集します。
- Windows Live Mail
- Windows Mail
- RimArts Internet Mail
- Poco Systems Pocomail
- IncrediMail
- The Bat! Mail
- Microsoft Outlook
- Mozilla ThunderBird
スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。
- Opera
- Internet Explorer
- FastStoneBrowser
- Epic
- ChromePlus
- Bromium
- Nichrome
- Chromium
- Comodo
- Flock
- Google Chrome
- K-Meleon
- MappleStudio ChromePlus
- RockMelt
- Mozilla Firefox
- Mozilla Seamonkey
- Yandex
スパイウェアは、以下のユーザ名およびパスワードのリストを用いて、上述の情報が保存されているパスワード保護された場所にアクセスします。
- samantha
- michelle
- david
- eminem
- scooter
- asdfasdf
- sammy
- baby
- diamond
- maxwell
- 55555
- justin
- james
- chicken
- danielle
- iloveyou2
- fuckoff
- prince
- junior
- rainbow
- 112233
- fuckyou1
- 1
- nintendo
- peanut
- none
- church
- bubbles
- robert
- 222222
- destiny
- loving
- gfhjkm
- mylove
- jasper
- hallo
- 123321
- cocacola
- helpme
- nicole
- guitar
- billgates
- looking
- scooby
- joseph
- genesis
- forum
- emmanuel
- cassie
- victory
- passw0rd
- foobar
- ilovegod
- nathan
- blabla
- digital
- peaches
- football1
- 11111111
- power
- thunder
- gateway
- iloveyou!
- football
- tigger
- corvette
- angel
- killer
- creative
- 123456789
- zxcvbnm
- startrek
- ashley
- cheese
- a
- sunshine
- christ
- 000000
- soccer
- qwerty1
- friend
- summer
- 1234567
- merlin
- phpbb
- 12345678
- jordan
- saved
- dexter
- viper
- winner
- sparky
- windows
- 123abc
- lucky
- anthony
- jesus
- ghbdtn
- admin
- hotdog
- baseball
- password1
- dragon
- trustno1
- jason
- internet
- mustdie
- john
- letmein
- 123
- mike
- knight
- jordan23
- abc123
- red123
- praise
- freedom
- jesus1
- 12345
- london
- computer
- microsoft
- muffin
- qwert
- mother
- master
- 111111
- qazwsx
- samuel
- canada
- slayer
- rachel
- onelove
- qwerty
- prayer
- iloveyou1
- whatever
- god
- password
- blessing
- snoopy
- 1q2w3e4r
- cookie
- 11111
- chelsea
- pokemon
- hahaha
- aaaaaa
- hardcore
- shadow
- welcome
- mustang
- 654321
- bailey
- blahblah
- matrix
- jessica
- stella
- benjamin
- testing
- secret
- trinity
- richard
- peace
- shalom
- monkey
- iloveyou
- thomas
- blink182
- jasmine
- purple
- test
- angels
- grace
- hello
- poop
- blessed
- 1234567890
- heaven
- hunter
- pepper
- john316
- cool
- buster
- andrew
- faith
- ginger
- 7777777
- hockey
- hello1
- angel1
- superman
- enter
- daniel
- 123123
- forever
- nothing
- dakota
- kitten
- asdf
- 1111
- banana
- gates
- flower
- taylor
- lovely
- hannah
- princess
- compaq
- jennifer
- myspace1
- smokey
- matthew
- harley
- rotimi
- fuckyou
- soccer1
- 123456
- single
- joshua
- green
- 123qwe
- starwars
- love
- silver
- austin
- michael
- amanda
- 1234
- charlie
- bandit
- chris
- happy
- hope
- maggie
- maverick
- online
- spirit
- george
- friends
- dallas
- adidas
- 1q2w3e
- 7777
- orange
- testtest
- asshole
- apple
- biteme
- 666666
- william
- mickey
- asdfgh
- wisdom
- batman
- pass
情報収集
スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。
- http://{BLOCKED}tonsof.ru/gate.php
- http://{BLOCKED}arren.ru/gate.php
- http://{BLOCKED}ransand.ru/gate.php
その他
ただし、情報公開日現在、このWebサイトにはアクセスできません。
スパイウェアは、実行後、自身を削除します。
スパイウェアが作成する以下のファイルは自身を削除するために利用され、その後削除されます。
- %User Temp%\{random numbers}.bat
スパイウェアがFTPクライアントおよびファイルマネージャのいずれかから収集するアカウント情報は以下のとおりです。
- ユーザ名
- パスワード
- ユーザID
- ホストアドレス
- ディレクトリのリスト
- ポート番号
- ターミナルタイプ
- サーバ名
- サーバタイプ
スパイウェアは、以下のGUIDを利用するアプリケーションから保存されたアカウント情報の取得を試みます。
- {74FF1730-B1F2-4D88-926B-1568FAE61DB7}
- {11C1D741-A95B-11d2-8A80-0080ADB32FF4}
スパイウェアは、さまざまな「Bitcoin（ビットコイン）」のウォレットから情報を収集する機能を備えています。スパイウェアは、以下のファイルを検索して、情報の抽出を試みます。
- wallet.dat (ProtoShares)
- wallet.dat (Craftcoin)
スパイウェアは、リモートデスクトップ接続で使用されているアカウント情報の収集を試みます。
スパイウェアは、ルートキット機能を備えていません。
スパイウェアは、脆弱性を利用した感染活動を行いません。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
「TSPY_FAREIT.YYSNO」 を作成またはダウンロードする不正なファイルを削除します。（註：以下のマルウェアもしくはアドウェア等がすでに削除されている場合は、本手順は行う必要はありません。）
手順 4
「TSPY_FAREIT.YYSNO」で検出したファイル名を確認し、そのファイルを終了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。
手順 5
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\WinRAR
- HWID = "{GUID}"
- HWID = "{GUID}"
- In HKEY_CURRENT_USER\Software\WinRAR
- Client Hash = "{hex value}"
- Client Hash = "{hex value}"
- In HKEY_CURRENT_USER\Software\WinRAR
- {random value} = "{true/false}"
- {random value} = "{true/false}"
手順 6
以下のファイルを検索し削除します。
- %User Temp%\{random numbers}.exe
- %User Temp%\{random numbers}.bat
手順 7
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_FAREIT.YYSNO」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください