TrojanSpy.MSIL.REDLINESTEALER.N

スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• Trojan.Win64.REDLINESTEALER.N

インストール

スパイウェアは、以下のプロセスを追加します。

• {Malware Directory}\{Malware Filename}
• powershell.exe Add-MpPreference -ExclusionPath {Malware Directory}\{Malware Filename}

スパイウェアは、以下のプロセスにコードを組み込みます。

• spawned {Malware Directory}\{Malware Filename}

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download - downloads a file to specified path
• DownloadAndEx - downloads a file to specified path then execute it
• OpenLink - opens a specific link in the browser
• Cmd - execute commands via cmd

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• https://{BLOCKED}.{BLOCKED}.213.135:30058

情報漏えい

スパイウェアは、以下の情報を収集します。

• Gathers the following system information:
  • Username
  • Hardware ID
  • Keyboard Layout
  • Screen Resolution
  • Operating System
  • GPU Information
  • CPU Information
  • IP Address
  • Country
  • City
  • ZipCode
  • System Language
  • System Timezone
• Gathers information from:
  • Browsers:
  • Chrome Based Browsers
  • Gecko Based Browsers
  • FTP Clients:
  • FileZilla
  • Messaging Applications:
  • Telegram
  • VPN:
  • NordVPN
  • OpenVPN
  • ProtonVPN
  • Wallets:
  • Armory
  • Atomic
  • Coinomi
  • Electrum
  • Ethereum
  • Exodus
  • Guarda
  • Jaxx
  • Data from wallet.dat
  • Others:
  • Steam
  • Discord
• Browser Extensions:
  • Autofill data
  • Browser data (Login information, cookies) relating to the following wallets:
    • YoroiWallet
    • Tronlink
    • NiftyWallet
    • Metamask
    • MathWallet
    • Coinbase
    • BinanceChain
    • BraveWallet
    • GuardaWallet
    • EqualWallet
    • JaxxxLiberty
    • BitAppWallet
    • iWallet
    • Wombat
    • AtomicWallet
    • MewCx
    • GuildWallet
    • SaturnWallet
    • RoninWallet
• Gathers the following data depending on the configurations received:
  • Browser profile (Login information, Cookies)
  • Ftp Connections (Login information)
  • Game Chat Files (Application information)
  • Game Launcher Files (Application information)
  • Installed Browsers Information
  • Message Client Files (Application information)
  • Installed Software
  • Security Software

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• https://api.ip.sb/geoip
• https://ipinfo.io/ip
• https://api.ipify.org

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.213.135:30058

スパイウェアは、以下を実行します。

• It can avoid certain countries and IP addresses depending on the configuration received.