Trojan.MSIL.FRS.VSNW0BK24

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• If -o | --output parameter is used:
  • {Path Set by the User}\EyeWitness_{Date}_{Time}
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\headers
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\images
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\src
  
  Otherwise:
  • %Application Data%\EyeWitness_{Date}_{Time}
  • %Application Data%\EyeWitness_{Date}_{Time}\headers
  • %Application Data%\EyeWitness_{Date}_{Time}\images
  • %Application Data%\EyeWitness_{Date}_{Time}\src

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成します。

• If -o | --output parameter is used:
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\headers\{URL Accessed}.txt → contains the HTTP response headers from the captured webpage
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\images\{URL Accessed}.bmp → contains screenshot of the webpage as rendered by EyeWitness
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\src\{URL Accessed}.txt → contains the full HTML, JavaScript, and CSS source code of the webpage
  • {Path Set by the User}\EyeWitness_{Date}_{Time}\report_page1.html → contains the generated report, showing details of the web request, HTTP headers, source code, and a screenshot of the captured webpage
  
  Otherwise:
  • %Application Data%\EyeWitness_{Date}_{Time}\headers\{URL Accessed}.txt
  • %Application Data%\EyeWitness_{Date}_{Time}\images\{URL Accessed}.bmp
  • %Application Data%\EyeWitness_{Date}_{Time}\src\{URL Accessed}.txt
  • %Application Data%\EyeWitness_{Date}_{Time}\report_page1.html
    
    
• It compresses the above files into the following if -c | --compress parameter is used:
  • {Path Set by the User}\EyeWitness_{Date}_{Time}.zip or
  • %Application Data%\EyeWitness_{Date}_{Time}.zip

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

その他

マルウェアは、以下を実行します。

• It captures screenshots of web pages, analyzing HTTP responses, and generating reports for reconnaissance and security assessments.
• It uses the following version of EyeWitness:
  • EyeWitness v1.1

マルウェアは、以下のパラメータを受け取ります。

• -b | --bookmarks → Searches for bookmark files for IE/Chrome, parses them, and adds them to the list of screenshot URLs
• -f | --file → Specify a new-line separated file of URLs
• -i | --cidr → Specify an IP CIDR
• -o | --output → Specify an output directory (one will be created if non-existent)
• -d | --delay → (Default: 30) Specify a delay to use before cancelling a single URL request
• -c | --compress → (Default: false) Compress output directory
• --http → (Default: false) Prepend http:// to all URLs
• --https → (Default: false) Prepend https:// to all URLs
• --help → Display this help screen.
• --version → Display version information.