TrojanSpy.MSIL.STEAMSTEALER.B

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• cmd.exe /c echo [zoneTransfer]ZoneID = 2 > "{malware file path and name}":ZONE.identifier & exit
• "{malware file path and name}"

スパイウェアは、以下のフォルダを作成します。

• %User Temp%\TxT

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

スパイウェアは、以下のレジストリ値を追加し、タスクマネージャやレジストリエディタ、フォルダオプションを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = "1"

作成活動

スパイウェアは、以下のファイルを作成します。

• %User Temp%\Ionic.Zip.dll
• %User Temp%\BrowserPasswords.zip
• {malware file path and name}:ZONE.identifier
• %User Temp%\CrashReports.txt
• %User Temp%\System.Data.SQLite.dll
• %User Temp%\TxT\Email and Password List.txt
• %AppDataLocal%\GDIPFONTCACHEV1.DAT
• %User Temp%\Information 8.36.123.206.txt
• %User Temp%\tempfileChromeCookies
• %User Temp%\tempfileChrome
• %User Temp%\GrabbedTxtFiles.zip
• %User Temp%\TxT\note.txt
• %User Temp%\AllCookies.html
• %User Temp%\AllPasswords.html

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}p.ru
• http://{BLOCKED}anel.ml

このウイルス情報は、自動解析システムにより作成されました。