TrojanSpy.MSIL.VIDAR.LN

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c timeout /t 6 & del /f /q "{Malware File Path}\{Malware Filename}" & del %ProgramData%\*.dll & exit

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %ProgramData%\freebl3.dll
• %ProgramData%\mozglue.dll
• %ProgramData%\msvcp140.dll
• %ProgramData%\nss3.dll
• %ProgramData%\softokn3.dll
• %ProgramData%\vcruntime140.dll
• %ProgramData%\msvcp140.dll

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• Date and time executed
• Machine ID
• GUID
• HWID
• Working path
• Product name
• Computer name
• User name
• Display resolution
• Display language
• Keyboard languages
• Local time
• Current time zone
• Operating system information
• Keyboard layout
• CPU Count
• RAM information
• Processor information
• Video card information
• Running processes
• Installed Software
• Screenshot
• Telegram session data
• Steam metadata
• Discord tokens
• Browser data (e.g. cookies, downloads, history, credentials, autofills, credit card data):
  • 360 Browser
  • 7Star
  • Amigo
  • Brave
  • Cent Browser
  • Chedot Browser
  • Chromium
  • CocCoc
  • Comodo Dragon
  • CryptoTab
  • Epic Privacy Browser
  • Google Chrome
  • Microsoft Edge
  • Mozilla Firefox
  • Opera
  • Opera Crypto Stable
  • Opera GX Stable
  • Opera Stable
  • Pale Moon
  • QQBrowser
  • Thunderbird
  • TOR Browser
  • Torch
  • Vivaldi
• Cryptocurrency Wallet Data:
  • Atomic
  • Binance
  • Binance
  • Bitcoin
  • Blockstream Green
  • Coinomi
  • Daedalus Mainnet
  • Dogecoin
  • ElectronCash
  • Electrum
  • Ethereum
  • Exodus
  • Jaxx Desktop Old
  • Jexx Desktop
  • Monero
  • MultiDoge
  • Raven Core
  • Wasabi Wallet
• Cryptocurrency Browser Extensions:
  • Auro Wallet
  • Authenticator
  • Authy
  • Binance Chain Wallet
  • Bit App Wallet
  • Bolt X
  • Clover Wallet
  • Coin98
  • Coinbase
  • Cyano Wallet
  • EOS Authenticator
  • EQUAL Wallet
  • EVER Wallet
  • Goby
  • Guarda
  • Guild Wallet
  • Harmony
  • ICONex
  • iWallet
  • Jaxx Liberty
  • Kardia Chain
  • Keplr
  • KHC
  • Ledger Live
  • Liquality Wallet
  • Maiar DeFi Wallet
  • Math Wallet
  • MetaMask
  • MEW CX
  • Nami Wallet
  • Neo Line
  • Nifty Wallet
  • Oxygen (Atomic)
  • Pali Wallet
  • Phantom
  • Polymesh Wallet
  • Rabby
  • Ronin Wallet
  • Solflare
  • Sollet
  • Temple
  • Terra Station
  • TezBox
  • Trezor Password Manager
  • TronLink
  • Voroi
  • Waves Keeper
  • Wombat
  • Xdef Wallet
• SFTP/FTP Clients (e.g. Host, Port, User, Pass, Recent Servers):
  • WinSCP
  • FileZilla

その他

スパイウェアは、以下を実行します。

• It connects to the following URL to resolve its configuration:
  • https://{BLOCKED}ommunity.com/profiles/76561199472399815
  • https://{BLOCKED}.me/litlebey
  • https://{BLOCKED}.{BLOCKED}.{BLOCKED}.112/get.zip
• It sends the stolen information to the following IP:
  • https://{BLOCKED}.{BLOCKED}.{BLOCKED}.107
  However, as of this writing the said IP is inaccessible
• It downloads the following archive in %ProgramData% upon resolving its configuration:
  • get.zip
  which contains the following normal files:
  • freebl3.dll
  • mozglue.dll
  • msvcp140.dll
  • nss3.dll
  • softokn3.dll
  • vcruntime140.dll
  • msvcp140.dll