TrojanSpy.MSIL.TOXICEYE.THCOGBC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

• %System Root%\Users\ToxicEye\rat.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

スパイウェアは、以下のファイルを作成します。

• %System Root%\Users\ToxicEye\Keylogs
• %System Root%\Users\ToxicEye\autosteal.lock
• %Temp File%\tmp4EC0.tmp.bat

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

スパイウェアは、以下のプロセスを追加します。

• Schtasks.exe /create /f /sc ONLOGON /RL HIGHEST /tn "Chrome update" /tr "%System Root%\Users\ToxicEye\rat.exe"
• cmd.exe /C %Temp File%\tmp4EC0.tmp.bat & Del %Temp File%\tmp4EC0.tmp.bat

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ADMIN:3736989d58fe9efccf446e282e522a7a

情報漏えい

スパイウェアは、以下の情報を収集します。

• Desktop Screenshot
• It gathers credentials from the following:
  • Browser(Credit Card, History Date, Bookmarks, Cookies):
  • Chrome
  • Chromium
  • Opera Stable
  • Brave-Browser
  • Amigo
  • Vivaldi
  • Orbitum
  • Atom
  • Kometa
  • Comodo Dragon
  • Torch
  • Comodo
  • Slimjet
  • 360Browser
  • Maxthon3
  • K-Melon
  • Sputnik
  • CocCoc
  • Nichrome
  • uCozMedia
  • Chromodo
  • YandexBrowser
  • Applications:
  • Filezilla
  • Telegram
  • Discord
  • Steam
• Zip files containing all files and applications present on %Desktop%
• Clipboard

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}egram.org/bot5981399083:AAEHnXdvbepNaf6NW5inPfw0j_A5k_d0F-o/sendDocument?chat_id=5564760978

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• Google.com
• Api.telegram.com

スパイウェアは、以下のプロセスの存在を確認します。

• Taskmgr
• Processhacker
• Netstat
• Netmon
• Tcpview
• Wireshark
• Filemon
• Regmon
• Cain

スパイウェアは、以下を実行します。

• Able to Elevate previlage to administrator
• It terminates itself if any of the following are satisfied:
  • If the difference from the generated ticks are less than 10 seconds
  • If the following strings are found in the Win32_ComputerSystem manufacturer:
  • vmware
  • If the following strings are found in the Win32_ComputerSystem model:
  • VIRTUAL
  • VirtualBox
  • If the following strings are found in the video controller present on the machine:
  • Vmware
  • VBox

マルウェアは、以下の仮想環境やサンドボックスに関連したモジュールが感染コンピュータ内に存在していないかを確認します。

• SbieDll.dll
• SxIn.dll
• Sf2.dll
• snxhk.dll
• cmdvrt32.dll

以下のスケジュールされたタスクを追加します：

• Task Name: Chrome Update
• Trigger: At Log on of any user
• Action: %System Root%\ToxicEye\rat.exe

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)