TrojanSpy.MSIL.NEGASTEAL.RJAHSPC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %User Temp%\{8 Random characters}.{3 Random characters}.ps1
• %User Temp%\{8 Random characters}.{3 Random characters}.psm1
• %AppDataLocal%\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive
• %Programs%\firefox\mozilla.exe → copy of itself

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %Programs%フォルダは、ユーザのプログラムグループが含まれるフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Windows\Start Menu\Programs" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs" です。または、Windows Vista、7、8の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs" です。)

スパイウェアは、以下のプロセスを追加します。

• "C:\Windows\System32\WindowsPowerShell\v1.0\powershell.exe" -ENC {base64 encrypted strings}

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKCU\Software\Microsoft\
Windows\CurrentVersion\Run
mozilla = %Programs%\firefox\mozilla.exe

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %User Temp%\{8 Random characters}.{3 Random characters}.ps1
• %User Temp%\{8 Random characters}.{3 Random characters}.psm1

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\{Random Name}_RASAPI32
EnableFileTracing = "0"
EnableConsoleTracing = "0"
FileTracingMask = "4294901760"
ConsoleTracingMask = "4294901760"
MaxFileSize= "1048576"
File Directory = "%windir%\tracing" =

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\{Random Name}_RASMANCS
EnableFileTracing = "0"
EnableConsoleTracing = "0"
FileTracingMask = "4294901760"
ConsoleTracingMask = "4294901760"
MaxFileSize= "1048576"
File Directory = "%windir%\tracing" =

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}am.org/{BotToken}:AAEz6ZTkghx2RsdTxeeE-sDulPHc5WQblVg/sendDocument?chat_id={ChatID}

情報漏えい

スパイウェアは、以下の情報を収集します。

• It gathers information from:
  • Time
  • Username
  • Computer Name
  • OS Version
  • CPU Architecture
  • RAM
  • IP Address
  
  
  • Browsers
  • 7Star
  • Amigo
  • BlackHawk
  • Brave Browser
  • CentBrowser
  • Chedot
  • Chrome
  • ChromePlus
  • Chromium
  • Citrio
  • Comodo Dragon
  • Comodo IceDragon
  • Coowon
  • Cyberfox
  • Cốc Cốc Browser
  • Elements Browser
  • Epic Privacy Browser
  • Falkon
  • Flock
  • Icecat
  • Iridium
  • K-Meleon
  • Kometa
  • Liebao
  • Microsoft Edge
  • Mozilla Firefox
  • Opera Stable
  • Orbitum
  • Pale Moon
  • QIP Surf
  • QQBrowser
  • SeaMonkey
  • Sleipnir
  • Sputnik
  • Torch
  • UCBrowser
  • Uran
  • Vivaldi
  • Waterfox
  • Yandex
  
  
  • Emails
  • Becky!
  • Claws-mail
  • eM Client
  • Eudora
  • Foxmail
  • IncrediMail
  • Mailbird
  • Opera Mail
  • Outlook
  • Pocomail
  • Postbox
  • The Bat!
  • Thunderbird
  
  
  • FTPs
  • cftp
  • COREFTP
  • FileZilla
  • FlashFXP
  • FTP Commander
  • FTP Commander Deluxe
  • FTP Navigator
  • FTPGetter
  • SmartFTP
  • WinSCP
  • WS_FTP
  
  
  • VPNs
  • NordVPN
  • OpenVPN
  • Private Internet Access
  
  
  • VNCs
  • RealVNC
  • TigerVNC
  • TightVNC
  • UltraVNC
  
  
  • Instant Messaging Applications
  • Discord
  • Psi/Psi+
  • Trillian
  
  
  • Others
  • JDownloader
  • MySQL Workbench
  • Windows Credentials
  • Windows Vault

その他

スパイウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Tracing\{malware file name}_RASAPI32

HKEY_LOCAL_MACHINE\Software\Microsoft\
Tracing\{malware file name}_RASMANCS

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• {BLOCKED}ify.org