TrojanSpy.MSIL.NEGASTEAL.RJANLJ

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %AppDataLocal%\MICROSOFT\Windows\PowerShell\StartupProfileData-NonInteractive
• %User Temp%\iusmu2uw.gw3.ps1
• %User Temp%\kcy3a44w.kcm.psm1
• %User Temp%\au5n0kgd.02f.ps1
• %User Temp%\kdlsfc4s.ad2.psm1
• %User Temp%\ncmlgizh.d4s.ps1
• %User Temp%\qa2xkce0.luu.psm1
• %User Temp%\Log.tmp → used to log keystrokes

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\XClient.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスを追加します。

• {Malware Path}\{Malware Filename}
• "%System%\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '{Malware Path}\{Malware Filename}'
• "%System%\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess '{Malware Filename}'
• "%System%\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%Application Data%\XClient.exe'
• "%System%\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'XClient.exe'

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

スパイウェアは、＜User Startup＞フォルダ内に、自身のコピーに誘導する以下のショートカットを作成します。これにより、Windows起動時に自身のコピーが自動実行されます。

• %User Startup%\XClient.lnk

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.178:7061

スパイウェアは、以下を実行します。

• It hooks into an API to log keystrokes and system activity.
• This is a RAR file containing a malicious executable upon extraction.

<補足>
インストール

スパイウェアは、以下のファイルを作成します。

• %AppDataLocal%\MICROSOFT\Windows\PowerShell\StartupProfileData-NonInteractive
• %User Temp%\iusmu2uw.gw3.ps1
• %User Temp%\kcy3a44w.kcm.psm1
• %User Temp%\au5n0kgd.02f.ps1
• %User Temp%\kdlsfc4s.ad2.psm1
• %User Temp%\ncmlgizh.d4s.ps1
• %User Temp%\qa2xkce0.luu.psm1
• %User Temp%\Log.tmp → キー入力操作情報を記録するために使用される

その他

スパイウェアは、以下を実行します。

• APIに接続してキー入力操作情報およびシステムアクティビティを記録します。
• これは、抽出時に不正な実行ファイルを含むRARファイルの検出名です。