TrojanSpy.MSIL.NEGASTEAL.THJOCBC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer Name
• User Name
• CPU Information
• RAM Information
• Network Adapter Configuration
• Clipboard data
• Current time
• It gathers credentials from the following:
  • Browsers (User Data):
    • 360 Browser
    • 7Star
    • Amigo
    • BlackHawk
    • Brave
    • CentBrowser
    • Chedot
    • Chrome
    • Chromium
    • Citrio
    • Coccoc
    • Comodo Dragon
    • Cool Novo
    • Coowon
    • CyberFox
    • Edge Chromium
    • Elements Browser
    • Epic Privacy
    • Falkon Browswer
    • Firefox
    • Flock
    • Flock Browser
    • IceCat
    • IceDragon
    • IE/Edge
    • Iridium
    • K-Meleon
    • Kometa
    • Liebao Browser
    • Opera Stable
    • Orbitum
    • PaleMoon
    • QIP Surf
    • QQ Browser
    • Safari for Windows
    • SeaMonkey
    • Sleipnir 6
    • Sputnik
    • Torch
    • UC Browser
    • Uran
    • Vivaldi
    • WaterFox
    • Yandex
  • Email Clients:
    • Becky!
    • Claws Mail
    • eM client
    • Eudora
    • Foxmail
    • IncrediMail
    • Mailbird
    • Opera Mail
    • Outlook
    • Pocomail
    • Postbox
    • The Bat!
    • Thunderbird
    • Windows Mail App
  • FTPs:
    • CoreFTP
    • FileZilla
    • FlashFXP
    • FTP Commander
    • FTP Getter
    • FTP Navigator
    • SmartFTP
    • WinSCP
    • WS_FTP
  • VPNs:
    • NordVPN
    • OpenVPN
    • Private Internet Access
  • Instant Messaging Applications:
    • Discord
    • Psi/Psi+
    • Trillian
  • Other Applications:
    • Internet Download Manager
    • Jdownloader 2.0
    • MySQL Workbench

情報収集

スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• Host: {BLOCKED}p.gmail.com
  Email: {BLOCKED}ashions@gmail.com
  Password: {BLOCKED}spfsavlvpr

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• https:// {BLOCKED}fy.org

スパイウェアは、以下を実行します。

• It has the capability to establish persistence on the victim's machine using the following file name and path:
  • %Application Data%\fKwlC\fKwlC.exe ← Malware copy

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)