TrojanSpy.MSIL.REDLINE.RGNS

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを作成します。

• %AppDataLocal%\SystemCache

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.167
• http://{BLOCKED}ri.org/Entity

情報漏えい

スパイウェアは、以下の情報を収集します。

• CPU Architecture
• CPU Details
• GPU Details
• Hostname
• Installed Applications
• Language
• List of Anti-virus Products
• List of AntiSpyWare Products
• List of Firewall Products
• List of Programs
• List of Running Processes
• OS Name and Version
• Screen Resolution
• Security Status of the Affected Machine
• Username

その他

スパイウェアは、以下を実行します。

• It steals wallet information from:
  • Armory
  • Atomic
  • Binance Wallet
  • BitApp Wallet
  • Brave Wallet
  • Coin98 Wallet
  • Coinbase
  • Coinomi
  • Electrum
  • Equal Wallet
  • Ethereum
  • EVER Wallet
  • Exodus
  • Guarda
  • GuildWallet
  • Harmony
  • iWallet
  • Jaxx Liberty
  • KardiaChain
  • Liquality
  • Math Wallet
  • Metamask
  • MEW CX
  • Monero
  • MultiversX DeFi Wallet
  • Nami
  • Nifty
  • Oxygen
  • Pali Wallet
  • Ronin Wallet
  • Saturn Wallet
  • Station Wallet
  • Temple
  • TronLink
  • Wombat
  • XDEF Wallet
  • Yoroi
• It steals browser data from:
  • Chrome
  • Firefox
  • Internet Explorer
  • VMwareHostOpen.exe --default http → all installed internet browsers in VMware
• It steals account information from:
  • Authenticator
  • Discord
  • NordVPN
  • OpenVPN
  • ProtonVPN
  • Telegram
• Steals file properties information from:
  • %AppDataLocal%\{All Subfolders and Files}
• It terminates itself if the affected machine's country is from:
  • Armenia
  • Azerbaijan
  • Belarus
  • Kazakhstan
  • Kyrgyzstan
  • Moldova
  • Tajikistan
  • Uzbekistan
  • Ukraine
  • Russia

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)