• Email
• Facebook
• Twitter
• Google+
• Linkedin

TSPY_LOKI.F

---

• マルウェアタイプ: スパイウェア
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、ダウンロードする機能を備えていません。

スパイウェアは、実行後、自身を削除します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random folder name}\{random filename}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のプロセスを追加します。

• svchost.exe

スパイウェアは、以下のフォルダを作成します。

• %Application Data%\{random folder name}

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

スパイウェアは、以下のプロセスにコードを組み込みます。

• created svchost.exe

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Run
{random folder name} = "%Application Data%\{random folder name}\{random filename}.exe"

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

作成活動

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{random folder name}\{random filename}.lck - deleted afterwards

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ダウンロード活動

スパイウェアは、ダウンロードする機能を備えていません。

情報漏えい

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• 32BitFtp
• 9bis.com KiTTY
• AbleFTP
• Automize
• BitKinex
• Bitvise BvSshClient
• Cyberduck
• DeluxeFTP
• EasyFTP
• Estsoft ALFTP
• ExpanDrive
• FTP Navigator
• FTP Now
• FTPBox
• FTPGetter
• FTPInfo
• FTPShell
• Far Manager
• Fastream NETFile
• FileZilla
• FlashFXP
• FlashPeak BlazeFtp
• FreshWebmaster FreshFTP
• Ghisler Total Commander
• GoFTP
• INSoftware NovaFTP
• Ipswitch WS_FTP
• JaSFtp
• LinasFTP
• Martin Prikryl
• NCH Software ClassicFTP
• NCH Software Fling
• NetDrive
• etDrive 2
• NetSarang Xftp
• NexusFile
• Notepad++ NppFTP
• Odin Secure FTP Expert
• Sherrod Computers Sherrod FTP
• SimonTatham PuTTY
• SmartFTP
• Staff-FTP
• Steed
• SuperPutty
• Syncovery
• UltraFXP
• VanDyke SecureFX
• WinFTP
• oZone3D MyFTP

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• DeskSoft CheckMail
• Flaska.net Trojita
• FossaMail
• Foxmail
• Gmail Notifier Pro
• IncrediMail
• Microsoft Outlook
• Opera Mail
• Poco Systems Pocomail
• Postbox
• Softwarenetz Mailing
• Thunderbird
• TrulyMail
• yahoo Mail
• yMail2

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• 360 Browser
• 8pecxstudios Cyberfox
• Apple Safari
• Baidu Spark
• Catalina Group Citrio
• Chromium
• Coc Coc Browser
• Comodo Chromodo
• Comodo Dragon
• Comodo IceDragon
• Coowon
• Epic Privacy Browser
• Fenrir Inc Sleipnir Browser
• Flock
• Google Chrome
• Google Chrome SxS
• Internet Explorer
• K-Meleon
• Lunascape 6
• MapleStudio ChromePlus
• Moonchild Productions Pale Moon
• Mozilla Firefox
• Mozilla SeaMonkey
• Mozilla Thunderbird
• Mustang Browser
• NETGATE Technologies BlackHawk
• Nichrome
• Opera Next
• Opera Stable
• QtWeb.NET QtWeb Internet Browser
• QupZilla
• RockMelt
• Superbird
• Titan Browser
• Torch
• Vivaldi
• Yandex Browser

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}nsmo.com/l/eng.php
• http://{BLOCKED}erep.ru/l/eng.php
• http://{BLOCKED}enet.ru/l/eng.php

その他

スパイウェアは、実行後、自身を削除します。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください