TrojanSpy.MSIL.EXMATTER.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• "powershell.exe" -WindowStyle Hidden -C $path = '{Malware Path}\{Malware Name}.exe';Get-Process | Where-Object {$_.Path -like $path} | Stop-Process -Force;[byte[]]$arr = new-object byte[] 455443087;Set-Content -Path $path -Value $arr;Remove-Item -Path $path;

情報漏えい

スパイウェアは、以下のパラメータを受け取ります。

• nownd or -nownd → executes itself with its window hidden.
• exists or -exists → checks if file exists

その他

スパイウェアは、以下を実行します。

• Creates a directory at the following URLs where it uploads the files:
  • https://{BLOCKED}.{BLOCKED}.232.192/data/{Machines's Domain Name}.{Machine's Host Name}
  • if there is no Domain Name:
  • https://{BLOCKED}.{BLOCKED}.232.192/data/WORKGROUP.{Machine's Host Name}
• It takes ownership of its executable folder and removes all other account’s access
• The files it sends must be from 1 year ago up to 6 years ago from its execution date
• The files it sends must be from 6 months ago up to 10 years from its execution date
• It does not send system files, temporary files, and directories
• It does not send files smaller than 1024 bytes
• It does not send files with the following file mask:
  
  • OneDriveMedTile
  • locale-
  • SmallLogo
  • VisualElements
  • adobe_sign
  • Adobe Sign
  • core_icons
• It does not send files from the following directories:
  
  • C:\Documents and Settings
  • C:\PerfLogs
  • C:\Program Files\Windows Defender Advanced Threat Protection
  • C:\Program Files\WindowsApps
  • C:\ProgramData\Application Data
  • C:\ProgramData\Desktop
  • C:\ProgramData\Documents
  • C:\ProgramData\Microsoft
  • C:\ProgramData\Packages
  • C:\ProgramData\Start Menu
  • C:\ProgramData\Templates
  • C:\ProgramData\WindowsHolographicDevices
  • C:\Recovery
  • C:\System Volume Information
  • C:\Users\All Users
  • C:\Users\Default
  • C:\Users\Public\Documents
  • C:\Windows
  • System Volume Information
• It uploads files with the following extensions:
  • .doc
  • .docx
  • .xls
  • .xlsx
  • .xlsm
  • .pdf
  • .msg
  • .ppt
  • .pptx
  • .sda
  • .sdm
  • .sdw
  • .csv
  • .zip
  • .json
  • .config
  • .ts
  • .cs
  • .sqlite
  • .aspx
  • .pst
  • .rdp
  • .accdb
  • .catpart
  • .catproduct
  • .catdrawing
  • .3ds
  • .dwt
  • .dxf