TrojanSpy.PS1.NEGASTEAL.FBV

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %ProgramData%\TUKHAMTASSER\Sexology.~!!!!!!!!!!!!!!!!~ ← deleted afterwards
• %ProgramData%\TUKHAMTASSER\NIKKIL_LORY.vbs ← later moved to %User Startup%\NIKKIL_LORY.vbs
• %System Root%\drivers\etc\hosts

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

スパイウェアは、以下のプロセスを追加します。

• "%System%\net.exe" user {Malware Created User} /add
• "%System%\net.exe" user {Malware Created User} {Password}
• "%System%\net.exe" localgroup administrators {Malware Created User} /add
• "%System%\net.exe" localgroup "Remote Desktop Users" {Malware Created User} /add
• "%System%\net.exe" stop WdNisSvc
• "%System%\netsh.exe" advfirewall set allprofiles state off
• "%System%\schtasks.exe" /create /sc MINUTE /mo 187 /tn clomepe /F /tr "wscript /nologo %ProgramData%\TUKHAMTASSER\NIKKIL_LORY.vbs"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のフォルダを作成します。

• %ProgramData%\TUKHAMTASSER

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、実行後、自身を削除します。

他のシステム変更

スパイウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}\InProcServer32
(Default) = C:\IDontExist.dll

スパイウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}\InProcServer32

プロセスの終了

スパイウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• WdNisSvc
• WinDefend

情報漏えい

スパイウェアは、以下の情報を収集します。

• Computer Name
• User Name
• CPU Information
• RAM Information
• Network Adapter Configuration
• IP Address
• Current time
• It gathers credentials from the following:
  • Browsers (User Data):
    • 360 Browser
    • 7Star
    • Amigo
    • BlackHawk
    • Brave
    • CentBrowser
    • Chedot
    • Chrome
    • Chromium
    • Citrio
    • Coccoc
    • Comodo Dragon
    • Cool Novo
    • Coowon
    • CyberFox
    • Edge Chromium
    • Elements Browser
    • Epic Privacy
    • Falkon Browser
    • Firefox
    • Flock
    • Flock Browser
    • IceCat
    • IceDragon
    • IE/Edge
    • Iridium Browser
    • K-Meleon
    • Kometa
    • Liebao Browser
    • Opera Browser
    • Orbitum
    • PaleMoon
    • QIP Surf
    • QQ Browser
    • Safari for Windows
    • SeaMonkey
    • Sleipnir 6
    • Sputnik
    • Torch Browser
    • UC Browser
    • Uran
    • Vivaldi
    • WaterFox
    • Yandex
  • Email Clients:
    • Becky!
    • Claws Mail
    • eM client
    • Eudora
    • Foxmail
    • IncrediMail
    • Mailbird
    • Opera Mail
    • Outlook
    • Pocomail
    • Postbox
    • The Bat!
    • Thunderbird
    • Windows Mail App
  • FTPs:
    • cftp
    • CoreFTP
    • FileZilla
    • FlashFXP
    • FTP Commander
    • FTP Getter
    • FTP Navigator
    • SmartFTP
    • WinSCP
    • WS_FTP
  • VPNs:
    • NordVPN
    • OpenVPN
    • Private Internet Access
  • Instant Messaging Applications:
    • Discord
    • Psi/Psi+
    • Trillian
  • Other Applications:
    • Internet Download Manager
    • Jdownloader 2.0
    • MySQL Workbench
    • Apple Keychain
  • VNCs:
    • RealVNC 4.x
    • RealVNC 3.x
    • TightVNC
    • TigerVNC
    • UltraVNC
  • Vault:
    • Web Credentials
    • Windows Credential Picker Protector
    • Windows Credentials
    • Windows Domain Certificate Credential
    • Windows Domain Password Credential
    • Windows Extended Credential
    • Windows Secure Note
    • Windows Web Password Credential

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• https://{BLOCKED}d.com/api/webhooks/1147617604740075550/qMN4dDXG-qUd5FVw6gluS-KM8pkIs8V5dUDV8yLhHwfqs5x6Q7TeJE-qmCsn9sgTZSpX

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• https://{BLOCKED}ify.org

スパイウェアは、以下を実行します。

• It bypasses Antimalware Scan Interface (AMSI).
• It terminates, disables, and deletes the Windows Defender service if found running.
• It utilizes net.exe to create a user and add this to two local groups:
  • administrators
  • Remote Desktop Users
• It turns off the Windows Firewall for all network profiles.
• It modifies Windows Defender's settings:
  • Adds the following to the exclusion preference:
    • File Extensions:
      • .bat
      • .ppam
      • .xls
      • .docx
      • .bat
      • .exe
      • .vbs
      • .js
    • Paths:
      • C:\
      • D:\
      • E:\
    • Processes:
      • explorer.exe
      • kernel32.dll
      • aspnet_compiler.exe
      • cvtres.exe
      • CasPol.exe
      • csc.exe
      • Msbuild.exe
      • ilasm.exe
      • InstallUtil.exe
      • jsc.exe
      • Calc.exe
      • powershell.exe
      • rundll32.exe
      • conhost.exe
      • Cscript.exe
      • mshta.exe
      • cmd.exe
      • DefenderisasuckingAntivirus
      • wscript.exe
    • IP Address:
      • 127.0.0.1
  • Configures the following:
    • Threat ID Default Action
    • Attack Surface Reduction (ASR) rules
    • Default action for high-threat items
    • Default action for moderate-threat items
    • Default action for low-threat items
    • Default action for severe-threat items
  • Disables:
    • Intrusion Prevention System
    • Information Protection feature
    • Real-time monitoring
    • Scanning of scripts for malware or malicious content
    • Controlled folder access
    • Reporting to the Microsoft Active Protection Service (MAPS)
    • Sample submissions to Microsoft
    • Protection against Potentially Unwanted Applications (PUAs)
    • Scheduled scans
  • Enables:
    • Audit mode for Network Protection

以下のスケジュールされたタスクを追加します：

• Task Name: clomepe
  Trigger: every 187 minutes
  Task Action: %ProgramData%\TUKHAMTASSER\NIKKIL_LORY.vbs

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )