TrojanSpy.MSIL.DYNAMICSTEAL.THEBIBC

ただし、情報公開日現在、このWebサイトにはアクセスできません。

インストール

スパイウェアは、以下のフォルダを追加します。

• %ProgramData%\OBIHAS

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %ProgramData%\OBIHAS\nfsdfh.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のプロセスを追加します。

• powershell.exe "-Command Add-MpPreference -ExclusionPath $env:UserProfile,$env:Temp,$env:ProgramData,$env:HomeDrive,$env:SystemDrive"
• schtasks.exe /create /f /sc ONLOGON /RL HIGHEST /tn nfsdfh /tr %ProgramData%\OBIHAS\nfsdfh.exe
• %ProgramData%\OBIHAS\nfsdfh.exe /C /choice /C Y /N /D Y /T 3 & Del\ "{Malware Filename}"

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• https://{BLOCKED}hubusercontent.com/L1ghtM4n/DynamicStealer/main/DLL/PasswordStealer.dll

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

スパイウェアは、以下の情報を収集します。

• BIOS Version
• BIOS Manufacturer
• BIOS Name
• BIOS Release Date
• CPU Name
• GPU Name
• Installed RAM
• Motherboard Manufacturer
• Motherboard Product
• Motherboard Serial Number
• Motherboard Version
• Physical Memory(Bank Label, Capacity, Data Width, Manufacturer, Memory Type, Speed)
• Drive Type
• Available Space on C drive
• OS Version
• OS Bit Version

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}egram.org/bot{@BotFather}/sendMessage?chat_id={@chatid_echo_bot}

その他

以下のスケジュールされたタスクを追加します：

• Task Name: nfsdfh
• Trigger: At log on
• Action: Start a Program → %ProgramData%\OBIHAS\nfsdfh.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )