TrojanSpy.MSIL.NEGASTEAL.RJAHSOT

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Default = %insregname%

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
StartupApproved\Run
Default = %insregname%

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %System Root%\%insfolder%\%insname%:Zone.Identifier

ダウンロード活動

スパイウェアは、以下のURLからファイルをダウンロードします。スパイウェアは、ファイルが感染コンピュータ内に保存されると、ファイル名を変更します。

• • https://www.{BLOCKED}onrouter.com/dist.torproject.org/torbrowser/9.5.3/tor-win32-0.4.3.6.zip

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.com/
  • As of this writing, the said sites are inaccessible.

スパイウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• {File directory}/tor.zip
  • The malware installs and creates a hidden instance of Tor browser on the system and sets its proxy to 127.0.0.1:9050, the default listening port of Tor to route all connections through the Tor network and provide anonymity.

情報漏えい

スパイウェアは、以下の情報を収集します。

• Current Time
• Username
• Computer Name
• OS Fullname
• CPU Information
• RAM Information
• IP Address
• Credentials stored in Default Browser
• Credentials stored in Windows Credential Files
• Credentials from the following applications:
• • Browsers/Internet Suites:
  • 360Chrome
  • 7Star
  • Amigo
  • BlackHawk
  • Brave Browser
  • CentBrowser
  • Chedot
  • Citrio
  • Cốc Cốc Browser
  • Comodo Dragon
  • Comodo IceDragon
  • CoolNovo
  • Coowon
  • Cyberfox
  • Elements Browser
  • Epic Privacy Browser
  • Falkon
  • Flock Browser
  • Google Chrome
  • Iridium
  • K-Meleon
  • Kometa
  • Liebao Browser
  • Microsoft Edge
  • Mozilla Firefox
  • Mozilla Icecat
  • Mozilla SeaMonkey
  • Opera
  • Orbitum
  • Pale Moon
  • QIP Surf
  • QQBrowser
  • Safari Browser
  • Sleipnir
  • Sputnik
  • Torch Browser
  • UCBrowser
  • Uran
  • Vivaldi
  • Waterfox
  • Yandex Browser

• Instant Messaging Applications:
• Paltalk
• Pidgin
• Psi/Psi+
• Trillian

• Mail Clients:
• Becky!
• Claws Mail
• eM Client
• Eudora
• Foxmail
• IncrediMail
• Mail Clients
• Mailbird
• Microsoft Outlook
• Mozilla Thunderbird
• Opera Mail
• Pocomail
• Postbox
• The Bat!
• File Transfer Software:
• CFTP
• CoreFTP
• FileZilla
• FlashFXP
• FTP Navigator
• FTPGetter
• JDownloader
• Internet Download Manager
• No-IP
• SmartFTP
• WinSCP 2
• WS_FTP

• VPN Software:
• NordVPN
• OpenVPN
• Private Internet Access VPN

• VNC Software:
• RealVNC
• TigerVNC
• TightVNC
• UltraVNC
• Miscellaneous:
• Apple Keychain
• It gathers credentials from the following vaults:
  • Windows Secure Note
  • Windows Web Password Credential
  • Windows Credential Picker Protector
  • Web Credentials
  • Windows Credentials
  • Windows Domain Certificate Credential
  • Windows Domain Password Credential
  • Windows Extended Credential
• Motherboard Serial Number

情報の送信先

スパイウェアは、以下のFTPサイトにファイルをアップロードします。

• ftp://ftp.{BLOCKED}asthermovalve.cl