TrojanSpy.MSIL.XWORM.RGN

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• ff3SRBIN5xkUxioy

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• pong - Sends a "pong" string to the C2
• rec - Restarts the application
• CLOSE - Closes the application
• uninstall - Executes the uninstall commands
• update - Executes the uninstall commands and the updated binary
• DW - Executes a powershell script
• FM - Executes a command from the C2 in memory
• LN - Downloads a file from a URL and execute it.
• Urlopen - Opens a URL through a browser
• Urlhide - Creates a HTTP GET request
• PCShutdown - Executes a shutdown command
• PCRestart - Executes a restart command
• PCLogoff - Executes a logoff command
• RunShell - Executes a command
• StartDDos - Initiates DDoS activities
• StopDDos - Terminates DDoS activities
• StartReport - Sends a list of running processes
• StopReport - Terminates sending of running proccesses list
• Xchat - Sends a "Xchat" string and the ID generated using system information
• Hosts - Sends the drivers\etc\host file contents
• Shosts - Modifies the contents of a file
• DDos - Sends a "DDos" string to the C2
• plugin - Decompresses and executes a plugin
• savePlugin - Saves the decoded plugin to a registry then decompresses and executes it
• RemovePlugins - Deletes the registry with plugin data
• OfflineGet - Sends a "OfflineKeylogger Not Enabled" string to the C2
• $Cap - Sends a screen capture

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• using TCP:
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.34:4444

スパイウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• using TCP:
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.34:4444

情報漏えい

スパイウェアは、以下の情報を収集します。

• Processor count
• Username
• Computer name
• OS version and architecture
• Hard drive size of system drive
• Malware's last modification date
• If executed using the filename "USB.exe"
• If executed with admin rights
• Webcam availability
• CPU Information
• GPU Information
• RAM Information
• Antivirus product name

<補足>
バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• pong - C&Cサーバに文字列「pong」を送信する
• rec - アプリケーションを再起動する
• CLOSE - アプリケーションを閉じる
• uninstall - アンインストールコマンドを実行する
• update - アンインストールコマンドおよび更新されたバイナリを実行する
• DW - Powershellスクリプトを実行する
• FM - C&Cサーバからのコマンドをメモリ内で実行する
• LN - URLからファイルをダウンロードして実行する
• Urlopen - ブラウザを介してURLを開く
• Urlhide - HTTP GETリクエストを作成する
• PCShutdown - シャットダウンコマンドを実行する
• PCRestart - 再起動コマンドを実行する
• PCLogoff - ログオフコマンドを実行する
• RunShell - コマンドを実行する
• StartDDos - 分散型サービス拒否（Distributed Denial of Service、DDoS）攻撃を実行する
• StopDDos - DDoS攻撃を終了する
• StartReport - 実行中のプロセスの一覧を送信する
• StopReport - 実行中のプロセスの一覧の送信を終了する
• Xchat - システム情報を使用して生成されたIDおよび文字列「Xchat」を送信する
• Hosts - drivers\etc\hostファイルのコンテンツを送信する
• Shosts - ファイルのコンテンツに変更を加える
• DDos - C&Cサーバに文字列「DDos」を送信する
• plugin - プラグインを展開して実行する
• savePlugin - デコードされたプラグインをレジストリに保存し、展開して実行する
• RemovePlugins - プラグインデータを含むレジストリを削除する
• OfflineGet - C&Cサーバに文字列「OfflineKeylogger Not Enabled」を送信する
• $Cap - スクリーンキャプチャを送信する

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• TCPを使用して：
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.34:4444

スパイウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• TCPを使用して：
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.34:4444

情報漏えい

スパイウェアは、以下の情報を収集します。

• プロセッサ数
• ユーザ名
• コンピュータ名
• オペレーティングシステム（OS）のバージョンおよびアーキテクチャ
• システムドライブのハードドライブの容量
• マルウェアの最終更新日
• 「USB.exe」というファイル名で実行されたかどうか
• 管理者権限で実行されたかどうか
• Webカメラの可用性
• CPU情報
• GPU情報
• RAM情報
• ウイルス対策製品の名前