TrojanSpy.MSIL.REDLINESTEALER.XDAXZ

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

情報漏えい

スパイウェアは、以下の情報を収集します。

• Gathers the following system information:
  • Username
  • Domain Name
  • Serial Number
  • Keyboard Layout
  • Screen Resolution
  • Operating System
  • GPU Information
  • CPU Information
  • IP Address
  • System Language
  • System Timezone
  • RAM
  • Installed Browsers
  • Installed Programs
  • Installed Security Software
  • Running processes
• Gathers information from:
  • Browsers:
  • Chrome Based Browsers
  • Gecko Based Browsers
  • Opera GX Stable
  • Opera GX
  • FTP Clients:
  • FileZilla
  • Messaging Applications:
  • Telegram
  • VPN:
  • NordVPN
  • OpenVPN
  • ProtonVPN
  • Wallets:
  • Data from wallet.dat files
  • Others:
  • Steam
  • Discord
• Browser Extensions:
  • Autofill data
  • Login data
  • Web data
  • Cookies
• Gathers the specific files depending on the configurations received from the server.

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• https://{BLOCKED}i.{BLOCKED}p.sb/ip

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• net.tcp://{BLOCKED}.{BLOCKED}.41.175:44271/

スパイウェアは、以下を実行します。

• It deletes the following folder if creation date is greater than 3 months:
  • %AppDataLocal%\Microsoft\Windows
• It creates the following folder if not existing or was deleted based on the condition above:
  • %AppDataLocal%\Microsoft\Windows

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)