TSPY_FAREIT.MKN

2013年2月1日

解析者: Anthony Joe Melgarejo

別名:

PWS:Win32/Fareit (Microsoft), Trojan.Zbot (Symantec), BackDoor-FJW (McAfee), Trojan.Win32.Winwebsec.mda (Sunbelt), W32/Trojan3.ERA (F-Prot), W32/Fareit.A!tr.pws (Fortinet), Win32/PSW.Fareit.A trojan (ESET), Trj/Tepfer.A (Panda)

プラットフォーム:

Windows 2000, Windows XP (32-bit and 64-bit), Windows Server 2003, Windows Vista (32-bit and 64-bit), Windows 7 (32-bit and 64-bit)

危険度:

感染確認数:

システムへの影響:

情報漏えい:

マルウェアタイプ: スパイウェア
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路 Eメールを介したスパム活動

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

詳細

ファイルサイズ 113,664 bytes

タイプ EXE

メモリ常駐なし

発見日 2013年1月22日

ペイロードファイルのダウンロード, 情報収集

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

http://www.{BLOCKED}amona.net/F6Gi5Q6.exe
http://www.{BLOCKED}2.{BLOCKED}n.co.uk/s184DrY.exe
http://www.{BLOCKED}esarohost.it/Q55U.exe

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

%User Temp%\{random numbers}.exe - detected as TSPY_ZBOT.MNY

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報収集

スパイウェアは、HTTPポストを介して、収集した情報を以下のURLに送信します。

http://{BLOCKED}.{BLOCKED}orada.net/ponyb/gate.php
http://{BLOCKED}.{BLOCKED}irious.net/ponyb/gate.php
http://{BLOCKED}.{BLOCKED}OMINIK.NET/ponyb/gate.php
http://{BLOCKED}.{BLOCKED}ASTER.NET/ponyb/gate.php

その他

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

%User Temp%\＜ランダムな数字＞.exe - 「TSPY_ZBOT.MNY」として検出

スパイウェアは、以下のインストールされたFTPクライアントまたはファイルマネージャのアカウント情報を収集します。

AceFTP
32BitFtp
3D-FTP
BPFTP
BlazeFtp
BulletProof FTP Client
DeluxeFTP
EasyFTP
Estsoft
FFFTP (Sota)
FTP CONTROL
FTP Commander
FTP Explorer
FTP Navigator
FTP Now
FTP++
FTPCON
FTPClient
FTPGetter
FTPRush
FTPShell
FTPVoyager
FTPWare
Far Manager
FileZilla
FreshFTP
Ghisler
GlobalSCAPE CuteFTP 6 Home
GlobalSCAPE CuteFTP 6 Professional
GlobalSCAPE CuteFTP 7 Home
GlobalSCAPE CuteFTP 7 Professional
GlobalSCAPE CuteFTP 8 Home
GlobalSCAPE CuteFTP 8 Professional
GoFTP
Ipswitch WS_FTP
LeapWare LeapFTP
LeechFTP
LinasFTP
MAS-Soft FTPInfo
MS IE FTP Passwords
NCH Software ClassicFTP
NovaFTP
Robo-FTP 3.7
SmartFTP
SoftX.org FTPClient
Staff-FTP
TurboFTP
WS_FTP
WinFTP
Ftp Winzip (Nico Mak Computing)
Coffee Cup Free FTP
PuTTY
salt-ftp

スパイウェアは、任意のFTPクライアントまたはファイルマネージャのいずれかから以下のアカウント情報を収集します。

パスワード
ポート番号
サーバ名
サーバのタイプ
ユーザ名
ディレクトリのリスト

また、スパイウェアは、保存されたメールの認証情報を収集します。

Outlook
Windows Live Mail
Windows Mail
Pocomail
IncrediMail
BatMail
Thunderbird

スパイウェアは、以下のブラウザからユーザ名、パスワードおよびホスト名といった保存された情報を収集します。

Google Chrome
Mozilla Firefox
Internet Explorer
Opera Browser
Flock Browser
RockMelt
K-Meleon
FastStone Browser

スパイウェアは、上述の情報が保存されているディレクトリがパスワードで保護されている場合、以下のユーザ名およびパスワードのリストを用いてアクセスします。

123abc
123qwe
1q2w3e
1q2w3e4r
aaaaaa
abc123
adidas
admin
amanda
andrew
angel
angel1
angels
anthony
apple
asdf
asdfasdf
asdfgh
ashley
asshole
austin
baby
bailey
banana
bandit
baseball
batman
benjamin
billgates
biteme
blabla
blahblah
blessed
blessing
blink182
bubbles
buster
canada
cassie
charlie
cheese
chelsea
chicken
chris
christ
church
cocacola
compaq
computer
cookie
cool
corvette
creative
cryptimplus
dakota
dallas
daniel
danielle
david
destiny
dexter
diamond
digital
dragon
eminem
emmanuel
enter
faith
flower
foobar
football
football1
forever
forum
freedom
friend
friends
fuckoff
fuckyou
fuckyou1
gates
gateway
genesis
george
gfhjkm
ghbdtn
ginger
god
google
grace
green
guitar
hahaha
hallo
hannah
happy
hardcore
harley
heaven
hello
hello1
helpme
hockey
hope
hotdog
hunter
ilovegod
iloveyou
iloveyou!
iloveyou1
iloveyou2
internet
james
jasmine
jason
jasper
jennifer
jessica
jesus
jesus1
john
john316
jordan
jordan23
joseph
joshua
junior
justin
killer
kitten
knight
letmein
london
looking
love
lovely
loving
lucky
maggie
master
matrix
matthew
maverick
maxwell
merlin
michael
michelle
mickey
microsoft
mike
monkey
mother
muffin
mustang
mustdie
mylove
myspace1
nathan
nicole
nintendo
none
nothing
onelove
online
orange
pass
passw0rd
password
password1
peace
peaches
peanut
pepper
phpbb
pokemon
poop
power
praise
prayer
prince
princess
purple
qazwsx
qwert
qwerty
qwerty1
rachel
rainbow
red123
richard
robert
rotimi
samantha
sammy
samuel
saved
scooby
scooter
secret
shadow
shalom
silver
single
slayer
smokey
snoopy
soccer
soccer1
sparky
spirit
startrek
starwars
stella
summer
sunshine
superman
taylor
test
testing
testtest
thomas
thunder
tigger
trinity
trustno1
victory
viper
welcome
whatever
william
windows
winner
wisdom
zxcvbnm

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。

対応方法

対応検索エンジン: 9.300

初回 VSAPI パターンバージョン 9.686.01

初回 VSAPI パターンリリース日 2013年1月28日

VSAPI OPR パターンバージョン 9.687.00

VSAPI OPR パターンリリース日 2013年1月29日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

「TSPY_FAREIT.MKN」が作成またはダウンロードした不正なファイルを削除します。

TSPY_ZBOT.MNY

手順 3

「TSPY_FAREIT.MKN」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TSPY_FAREIT.MKN」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください