TrojanSpy.MSIL.QUIETSIEVE.LSA

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %AppDataLocal%\IconsCache.db -> contains hashed equivalents of the unique files to steal
• %User Temp%\ModeAuto\icons\{current date in YYYY-MM-DD-HH-MM format}.jpg -> screenshot of the current state of the machine

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のフォルダを作成します。

• %User Temp%\ModeAuto\icons

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\lCHBaUZcohRgQcOfdIFaf

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Remote code execution
• Capture screenshots

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer name
• User name
• Volume Serial Number

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}.{BLOCKED}.92.102/{Random alphanumeric characters}

スパイウェアは、以下を実行します。

• It steals files with the following extensions:
  • .doc
  • .docx
  • .xls
  • .rtf
  • .odt
  • .txt
  • .jpg
  • .pdf
  • .ps1
• It steals files with the following extensions if they are seen on folders with 'Desktop' or 'Documents' in its folder name:
  • .7z
  • .rar
  • .zip