Trojan.MSIL.ANGRYSTEALER.THHBHBD

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\Stepasha (detected as TrojanSpy.MSIL.ANGRYSTEALER.THHBHBD)
• %User Temp%\MotherRussia.exe → this executable is a tool designed to automate the process of creating another executable

マルウェアは、以下のプロセスを追加します。

• %User Temp%\Stepasha
• %User Temp%\MotherRussia.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下を実行します。

• It deletes the following files if it exists before dropping its files:
  • %User Temp%\Stepasha
  • %User Temp%\MotherRussia.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\Stepasha （「TrojanSpy.MSIL.ANGRYSTEALER.THHBHBD」として検出される）
• %User Temp%\MotherRussia.exe → この実行ファイルは、別の実行ファイルを作成するプロセスを自動化するように設計されたツールです。

その他

マルウェアは、以下を実行します。

• 自身のファイルを作成する前に、以下のファイルが存在する場合は削除します。
  • %User Temp%\Stepasha
  • %User Temp%\MotherRussia.exe