TrojanSpy.MSIL.NEGASTEAL.KDL

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。 スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

スパイウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Features
TamperProtection = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableBehaviorMonitoring = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableOnAccessProtection = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows Defender\Real-Time Protection
DisableScanOnRealtimeEnable = 1

情報漏えい

スパイウェアは、以下の情報を収集します。

• IP Address
• Time
• Username
• Computer Name
• OS Name
• Processor Name
• Amouont of Memory
• Screenshot

スパイウェアは、ユーザのキー入力操作情報を記録し、情報を収集します。

スパイウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

• FileZilla
• IPSwitch
• WinSCP
• FTP Navigator
• Flash FXP
• Smart FTP
• CFTP
• FTP Getter
• Internet Download Manager
• JDownloader
• Core FTP

スパイウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

• Chrome
• Firefox
• Safari
• QQ Browser
• SeaMonkey
• Flock
• UC Browser
• BlackHawk
• CyberFox
• KMeleon
• IceCat
• IceDragon
• PaleMoon
• WaterFox

スパイウェアは、保存されている以下のEメール認証情報を収集します。

• Outlook
• Thunderbird
• Foxmail
• Opera Mail
• IncrediMail
• Pocomail
• Eudora
• The Bat!
• Postbox
• Claws Mail
• Becky!

情報収集

スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}do@montacargasperu.com

その他

スパイウェアは、以下を実行します。

• Checks if the malware is being ran under sandbox mode by checking the username if it is one of the following:
  • USER
  • SANDBOX
  • VIRUS
  • MALWARE
  • SCHMIDTI
  • CURRENTUSER
• Also checks the %User Startup% path if it contains one of the following:
  • \VIRUS
  • SANDBOX
  • SAMPLE
• The email uses any of the following strings as it's subject:
  • C_{Username}/{Computer Name}
  • S_{Username}/{Computer Name}
  • K_{Username}/{Computer Name}
• The email body contains the stolen information and may have a jpeg or zip file attached

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

マルウェアは、以下の仮想環境やサンドボックスに関連したモジュールが感染コンピュータ内に存在していないかを確認します。

• SbieDll.dll

マルウェアは、以下の仮想環境やサンドボックスに関連したレジストリ値が感染コンピュータ内に存在していないかを確認します。

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 0\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = {Registry entry that contains the string "VBOX"}

HKEY_LOCAL_MACHINE\HARDWARE\Description\
System
SystemBiosVersion = {Registry entry that contains the string "VBOX"}

HKEY_LOCAL_MACHINE\HARDWARE\Description\
System
VideoBiosVersion = {Registry entry that contains the string "VIRTUALBOX"}

HKEY_LOCAL_MACHINE\SOFTWARE\Oracle\
VirtualBox Guest Additions
"" = noValueButYesKey

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 0\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = {Registry entry that contains the string "VMWARE"}

HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.\
VMware Tools
"" = noValueButYesKey

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 1\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = {Registry entry that contains the string "VMWARE"}

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 2\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = {Registry entry that contains the string "VMWARE"}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\Disk\Enum
0 = {Registry entry that contains the string "VMWARE"}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\
0000
DriverDesc = {Registry entry that contains the string "VMWARE"}

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Class\{4D36E968-E325-11CE-BFC1-08002BE10318}\
0000\Setting
Device Description = {Registry entry that contains the string "VMWARE"}

HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.\
VMware Tools
InstallPath = {Registry entry that contains the string "C:\PROGRAM FILES\VMWARE\VMWARE TOOLS\"}

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 0\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = {Registry entry that contains the string "QEMU"}

HKEY_LOCAL_MACHINE\HARDWARE\Description\
System
SystemBiosVersion = {Registry entry that contains the string "QEMU"}

マルウェアは、以下のセキュリティ対策製品が存在しているかを確認します。

• ESET NOD32