TrojanSpy.MSIL.ENGIMASTEALER.YXDBC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft
Cryptography = {MachineGUID}

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.146.29/errlog/gate.php?hwid={MachineGUID}&filename=loader&nStr=1&desc=[sharp]{DebugMessage}
• https://api.telegram.org/{BLOCKED}tToken}/getfile?file_id={fileID}
• https://api.telegram.org/{BLOCKED}tToken}/getUpdates

その他

スパイウェアは、以下を実行します。

• It utilizes Telegram API in sending stolen information.
• It sends stolen information to: https://api.telegram.org/{BLOCKED}tToken}/sendmessage?chat_id={ChatID}&text[{MachineGUID}]{message}
• It sends an "alivereply" and "i'm alive" chat message to the specified Telegram bot every 300 seconds, to inform the threat actor of its activity.
• It downloads an assembly file from Telegram and executes it (downloaded files behavior varies).
• It steals tokens and passwords stored in the following web browsers:
  • Chromium
  • Google Chrome
  • Opera
  • Iridium
  • 7Star
  • CentBrowser
  • Chedot
  • Vivaldi
  • Kometa
  • Elements
  • Epic
  • Sleipnir
  • Citrio
  • Coowon
  • liebao
  • QIP Surf
  • Orbutym
  • Comodo
  • Amigo
  • Torch
  • Yandex
  • 360Browser
  • Maxthon
  • K-Melon
  • CocCoc
  • Brave
  • Microsoft Edge