TrojanSpy.MSIL.VIDAR.K

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\fseekdata\fseekdata.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のファイルを作成します。

• %ProgramData%\{Random characters}\{GUID}{Random characters}.zip (contains aggregated system information to be sent to C2)

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、 Windows のタスクスケジューラを使い、「スケジュールされたタスク」を追加します。これにより、作成された自身のコピーが実行されます。

スパイウェアは、以下のプロセスを追加します。

• "%Windows%\Microsoft.NET\Framework\v4.0.30319\vbc.exe"
• "cmd.exe" /C schtasks /create /sc minute /mo 1 /tn "Nafnias" /tr "'%Application Data%\fseekdata\fseekdata.exe'" /f
• "cmd.exe" /C copy "{Malware path and name}" "%Application Data%\fseekdata\fseekdata.exe"
• "%System%\cmd.exe" /c taskkill /im vbc.exe /f & timeout /t 6 & del /f /q "%Windows%\Microsoft.NET\Framework\v4.0.30319\vbc.exe" & del %ProgramData%\*.dll & exit

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のフォルダを作成します。

• %ProgramData%\{Random characters} (contains stolen information)
• %Application Data%\fseekdata

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスにコードを組み込みます。

• %Windows%\Microsoft.NET\Framework\v4.0.30319\vbc.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• Telegram session data
• Cryptocurrency wallet data
• Browser data (e.g. cookies, downloads, history, credentials, autofills, credit card data)
• Date executed
• Machine ID
• GUID
• HWID
• Working path
• Product name
• Computer name
• User name
• Resolution
• Operating system information
• Keyboard layout
• Datetime executed
• RAM information
• Processor information
• Video card information
• Running processes
• Screenshot

その他

スパイウェアは、以下を実行します。

• It connects to the following URL to resolve its configuration:
  • https://{BLOCKED}.me/{BLOCKED}0412/
  • https://{BLOCKED}c.social/{BLOCKED}6
  As of this moment, if it receives the following URL it will use this IP to send its stolen information: http://{BLOCKED}.{BLOCKED}.11.124
• It downloads the following archive in %ProgramData% upon resolving its configuration:
  • update.zip
  which contains the following normal files:
  • freebl3.dll
  • mozglue.dll
  • msvcp140.dll
  • nss3.dll
  • softokn3.dll
  • vcruntime140.dll
  • msvcp140.dll

スパイウェアは、以下のいずれかのコンピュータ名が感染コンピュータで確認される場合、自身を終了します。

• JohnDoe
• HAL9TH

以下のスケジュールされたタスクを追加します：

• Task Name: Nafnias
• Task to run: %Application Data%\fseekdata\fseekdata.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)