TrojanSpy.MSIL.REDLINESTEALER.YXBDM

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• %Windows%\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

スパイウェアは、以下のプロセスにコードを組み込みます。

• %Windows%\Microsoft.NET\Framework\v4.0.30319\AddInProcess32.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download - downloads a file to specified path
• DownloadAndEx - downloads a file to specified path then execute
• OpenLink - opens a specific link in the browser
• Cmd - execute commands via cmd

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}ri.xyz:80

情報漏えい

スパイウェアは、以下の情報を収集します。

• Gathers the following system info:
  • Username
  • Hardware ID
  • Keyboard Layout
  • Screenshot
  • Screen Resolution
  • Operating System
  • UAC Settings
  • Is Admin
  • GPU Information
  • CPU Information
  • Memory (RAM)
  • Installed Antiviruses
  • IP Address
  • Country
  • City
  • ZipCode
  • System Language
  • System Timezone
  • Installed Programs
  • Running Processes
• Gathers Info from:
  • Browsers:
    • Chrome Based Browsers
    • Gecko Based Browsers (e.g. Firefox)
  • FTP Clients:
    • FileZilla
  • Messaging Applications:
    • Telegram
  • VPN:
    • NordVPN
    • OpenVPN
    • ProtonVPN
  • Wallets:
    • Armory
    • Atomic
    • Coinomi
    • Electrum
    • Ethereum
    • Exodus
    • Guarda
    • Jaxx
    • Metamask
    • Monero
    • Tron
    • Others
  • Others:
    • Steam
    • Discord

その他

スパイウェアは、以下を実行します。

• Shows fake error message:
  • MesageBox Title: System Error
  • MessageBox Content: "The code execution cannot proceed because MSVCP140.dll was not found"

<補足>
バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download - 指定されたパスにファイルをダウンロードする
• DownloadAndEx - 指定されたパスにファイルをダウンロードして実行する
• OpenLink - ブラウザ内で特定のリンクを開く
• Cmd - CMDを介してコマンドを実行する

情報漏えい

スパイウェアは、以下の情報を収集します。

• 以下のシステム情報を収集します。
  • ユーザ名
  • ハードウェアID
  • キーボードの配列
  • スクリーンショット
  • 画面解像度
  • オペレーティングシステム（OS）
  • ユーザアカウント制御（UAC）の設定
  • Is Admin
  • GPU情報
  • CPU情報
  • メモリ（RAM）
  • インストール済みセキュリティ対策製品
  • IPアドレス
  • 国
  • 市
  • 郵便番号
  • コンピュータ言語
  • コンピュータのタイムゾーン
  • インストール済みプログラム
  • 稼働中のプロセス
• 以下から情報を収集します。
  • ブラウザ:
    • Chromeベースのブラウザ
    • Geckoベースのブラウザ（Firefoxなど）
  • FTPクライアント:
    • FileZilla
  • メッセージアプリケーション
    • Telegram
  • VPN:
    • NordVPN
    • OpenVPN
    • ProtonVPN
  • ウォレット:
    • Armory
    • Atomic
    • Coinomi
    • Electrum
    • Ethereum
    • Exodus
    • Guarda
    • Jaxx
    • Metamask
    • Monero
    • Tron
    • Others
  • その他:
    • Steam
    • Discord

その他

スパイウェアは、以下を実行します。

• 偽のエラー メッセージを表示します。
  • メッセージボックスのタイトル: System Error
  • メッセージボックスのコンテンツ: "The code execution cannot proceed because MSVCP140.dll was not found"