• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_FAREIT.QCU

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、Internet Explorer（IE）のゾーン設定を変更します。

スパイウェアは、ダウンロードしたファイルを実行します。

スパイウェアは、実行後、自身を削除します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\RunOnce
{Random Hash} = "%User Temp%\{Random Number}.exe"

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
{Random Characters}
{Random Characters 2} = "{Random Hex Values}"

HKEY_CURRENT_USER\Software\Microsoft\
{Random Characters}
{Random Characters 3} = "{Random Strings}"

HKEY_CURRENT_USER\Software\WinRAR
{Random Hash} = "{Random Hex Values}"

HKEY_CURRENT_USER\Software\WinRAR
Client Hash = "{Random Hex Values}"

HKEY_CURRENT_USER\Software\WinRAR
HWID = "{Random Hex Values}"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

Webブラウザのホームページおよび検索ページの変更

スパイウェアは、IEのゾーン設定を変更します。

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}orld.com/6.exe
• http://{BLOCKED}orld.com/1.exe?c=4

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{Random Number}.exe

(註：%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、ダウンロードしたファイルを実行します。

情報漏えい

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 3D-FTP
• AceBIT
• BitKinex
• BlazeFtp
• BulletProof FTP Client
• ClassicFTP (NCH)
• CoffeeCup Free FTP
• Cryer WebSitePublisher
• Cyberduck
• DeluxeFTP
• Directory Opus (GPSoftware)
• EasyFTP
• Estsoft ALFTP
• ExpanDrive
• Far Manager
• FastTrack FTP
• FFFTP (Sota)
• FileZilla
• FlashFXP
• Fling (NCH)
• FreshFTP
• Frigate3
• FTP Explorer
• FTP Now
• FTPClient
• FTPGetter
• FTPRush
• FTPShell
• FTPVoyager
• FTPWare
• Ghisler
• Global Downloader
• GlobalSCAPE CuteFTP 6 Home
• GlobalSCAPE CuteFTP 6 Professional
• GlobalSCAPE CuteFTP 7 Home
• GlobalSCAPE CuteFTP 7 Professional
• GlobalSCAPE CuteFTP 8 Home
• GlobalSCAPE CuteFTP 8 Professional
• GlobalSCAPE CuteFTP Lite
• GlobalSCAPE CuteFTP Pro
• GoFTP
• LeapWare
• LeechFTP
• LinasFTP
• MAS-Soft FTPInfo
• NetDrive
• NetSarang
• NexusFile
• NovaFTP (INSoftware)
• NppFTP (Notepad++ FTP Plugin)
• PuTTY (SimonTatham)
• RhinoSoft
• Robo-FTP 3.7
• Salt FTP
• SmartFTP
• Staff-FTP
• TurboFTP
• UltraFXP
• VanDyke SecureFX
• Visicom Media <-AceFTP
• WebDrive FTP Client (South River Technologies)
• WinSCP (Martin Prikryl)
• WinZip FTP (Nico Mak Computing)
• Wise-FTP
• WS_FTP (Ipswitch)

スパイウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

• Port Number
• Server Name
• Server Type
• User Name
• Directory List

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• BatMail
• IncrediMail
• Microsoft Office Outlook
• Pocomail
• RimArts Becky! Internet Mail
• Thunderbird
• Windows Live Mail
• Windows Mail

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Bromium
• ChromePlus (MapleStudio)
• Chromium
• Comodo Dragon
• Epic
• FastStone Browser
• Flock Browser
• Google Chrome
• Internet Explorer
• K-Meleon
• Mozilla Firefox
• Mozilla SeaMonkey
• Nichrome
• Opera Browser
• RockMelt
• Yandex

スパイウェアは、以下のユーザ名およびパスワードのリストを用いて、上述の情報が保存されているパスワード保護された場所にアクセスします。

• 123abc
• 123qwe
• 1q2w3e
• 1q2w3e4r
• aaaaaa
• abc123
• adidas
• admin
• amanda
• andrew
• angel
• angel1
• angels
• anthony
• apple
• asdf
• asdfasdf
• asdfgh
• ashley
• asshole
• austin
• baby
• bailey
• banana
• bandit
• baseball
• batman
• benjamin
• billgates
• biteme
• blabla
• blahblah
• blessed
• blessing
• blink182
• bubbles
• buster
• canada
• cassie
• charlie
• cheese
• chelsea
• chicken
• chris
• christ
• church
• cocacola
• compaq
• computer
• cookie
• cool
• corvette
• creative
• dakota
• dallas
• daniel
• danielle
• david
• destiny
• dexter
• diamond
• digital
• dragon
• eminem
• emmanuel
• enter
• faith
• flower
• foobar
• football
• football1
• forever
• forum
• freedom
• friend
• friends
• fuckoff
• fuckyou
• fuckyou1
• gates
• gateway
• genesis
• george
• ginger
• god
• google
• grace
• green
• guitar
• hahaha
• hallo
• hannah
• happy
• hardcore
• harley
• heaven
• hello
• hello1
• helpme
• hockey
• hope
• hotdog
• hunter
• ilovegod
• iloveyou
• iloveyou!
• iloveyou1
• iloveyou2
• internet
• james
• jasmine
• jason
• jasper
• jennifer
• jessica
• jesus
• jesus1
• john
• john316
• jordan
• jordan23
• joseph
• joshua
• junior
• justin
• killer
• kitten
• knight
• letmein
• london
• looking
• love
• lovely
• loving
• lucky
• maggie
• master
• matrix
• matthew
• maverick
• maxwell
• merlin
• michael
• michelle
• mickey
• microsoft
• mike
• monkey
• mother
• muffin
• mustang
• mustdie
• mylove
• myspace1
• nathan
• nicole
• nintendo
• none
• nothing
• onelove
• online
• orange
• pass
• passw0rd
• password
• password1
• peace
• peaches
• peanut
• pepper
• phpbb
• pokemon
• poop
• power
• praise
• prayer
• prince
• princess
• purple
• qazwsx
• qwert
• qwerty
• qwerty1
• rachel
• rainbow
• red123
• richard
• robert
• rotimi
• samantha
• sammy
• samuel
• saved
• scooby
• scooter
• secret
• shadow
• shalom
• silver
• single
• slayer
• smokey
• snoopy
• soccer
• soccer1
• sparky
• spirit
• startrek
• starwars
• stella
• summer
• sunshine
• superman
• taylor
• test
• testing
• testtest
• thomas
• thunder
• tigger
• trinity
• trustno1
• victory
• viper
• welcome
• whatever
• william
• windows
• winner
• wisdom
• zxcvbnm

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}orld.com/gate.php
• http://{BLOCKED}-cdn-node.com/gate.php

その他

スパイウェアは、実行後、自身を削除します。

スパイウェアが収集するアカウント情報は、以下のとおりです。

• ポート番号
• サーバ名
• サーバのタイプ
• ユーザ名
• ディレクトリのリスト

スパイウェアは、マルウェアのファイルを削除した後、自身を削除するバッチファイルを以下のように作成します。

• %User Temp%\{Random Number}.bat

マルウェアは、ルートキット機能を備えていません。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください