TrojanSpy.MSIL.NEGASTEAL.RJARIC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer Name
• User Name
• Processor Architecture
• Network Adapter Configuration
• Clipboard data
• Current time
• Credentials from the following applications:
  • Browsers:
    • 360 Browser
    • 7Star
    • Amigo
    • BlackHawk
    • Brave
    • CentBrowser
    • Chedot
    • Chrome
    • Chromium
    • Citrio
    • Coccoc
    • Comodo Dragon
    • Cool Novo
    • Coowon
    • CyberFox
    • Edge Chromium
    • Elements
    • Epic Privacy
    • Falkon Browser
    • Firefox
    • Flock
    • Flock Browser
    • IceCat
    • IceDragon
    • IE/Edge
    • Iridium
    • K-Meleon
    • Kometa
    • Liebao Browser
    • Opera
    • Orbitum
    • PaleMoon
    • Postbox
    • QIP Surf
    • QQ Browser
    • Safari for Windows
    • SeaMonkey
    • Sleipnir 6
    • Sputnik
    • Thunderbird
    • Torch
    • UC Browser
    • Uran
    • Vivaldi
    • WaterFox
    • Yandex
  • Email Clients:
    • Becky!
    • ClawsMail
    • eM Client
    • Eudora
    • FoxMail
    • IncrediMail
    • MailBird
    • Opera Mail
    • Outlook
    • PocoMail
    • The Bat!
    • Windows Mail App
  • Instant Messaging Applications:
    • Trillan

情報の送信先

スパイウェアは、以下のFTPサイトにファイルをアップロードします。

• Host: ftp://ftp.{BLOCKED}tebanquetes.com
  User: {BLOCKED}gina@elquijotebanquetes.com
  Password: {BLOCKED}1@} ;

その他

スパイウェアは、以下を実行します。

• It has the capability to establish persistence on the victim's machine using the following file name and path:
  • %Application Data%\eXCXES\eXCXES.exe ← Malware copy

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)