TrojanSpy.MSIL.NEGASTEAL.KCM

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %User Profile%\{Documents Folder}ICodeGenerator.txt
• %User Temp%\scan.exe

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスにコードを組み込みます。

• %Windows%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

スパイウェアは、Windows起動時に自動実行されるよう＜スタートアップ＞フォルダ内に以下のファイルを作成します。

• %Common Startup%\{8 Random Characters}.exe

(註：%Common Startup%フォルダは、すべてのユーザのスタートアップフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\All Users\Start Menu\Programs\Startup" です。また、Windows Vista、7、8の場合、通常 "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup" です。)

他のシステム変更

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
System
EnableLUA = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\SystemRestore
DisableSR = 1

HKEY_CURRENT_USER\Software\Policies\
Microsoft\Windows\System
DisableCMD = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoRun = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoControlPanel = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoFolderOptions = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableRegistryTools = 1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

情報漏えい

スパイウェアは、以下の情報を収集します。

• Username
• Computer Name
• OS Name
• Processor Name
• Amount of Memory
• Keyboard Logs
• Usernames/Passwords from the following applications:
  • 360 Browser
  • 7Star
  • Amigo
  • BlackHawk
  • Brave
  • CentBrowser
  • Chedot
  • Chromium
  • Citrio
  • Coccoc
  • Comodo Dragon
  • Cool Novo
  • Coowon
  • Core FTP
  • CyberFox
  • Elements Browser
  • Epic Privacy
  • Firefox
  • Flock
  • IceCat
  • IceDragon
  • Internet Download Manager
  • Iridium Browser
  • K-Meleon
  • Kometa
  • Liebao Browser
  • Opera Browser
  • Orbitum
  • PaleMoon
  • Postbox
  • QIP Surf
  • SeaMonkey
  • Sleipnir 6
  • Sputnik
  • Thunderbird
  • Torch Browser
  • Uran
  • Vivaldi
  • WaterFox
  • Web Credentials
  • Windows Credential Picker Protector
  • Windows Credentials
  • Windows Domain Certificate Credential
  • Windows Domain Password Credential
  • Windows Extended Credential
  • Windows Generic Credential
  • Windows Secure Note
  • Windows Web Password Credential
  • Yandex Browser

情報収集

スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• office14r@{BLOCKED}eemirates.com