TrojanSpy.Win32.DANABOT.MV

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

• %AppDataLocal%\Yandex
• %AppDataLocal%\Yandex\YaAddon

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• IP address
• MAC address
• Username
• Computer name
• Country name
• Windows key
• Browsers
• Running processes
• Default browser
• OS information (version, name, architecture)
• Storage information (size, drives)
• System manufacturer
• System model
• System name
• Processor name
• Timezone
• Language
• Saved Windows credentials
• Browser cookies/credentials
• Wallet data for the following cryptocurrency wallets:
  • Armory
  • Atomic
  • Binance
  • Coinomi
  • Electrum
  • Ethereum
  • Exodus
  • Guarda
  • Monero
• Anti virus products
• Anti spyware products
• Firewall products

その他

スパイウェアは、以下を実行します。

• 窃取した情報を以下のURLに送信します。
  • {BLOCKED}.{BLOCKED}.48.58:38989
• コンピュータの国名が以下のいずれかであった場合、自身を終了します。
  • Armenia
  • Azerbaijan
  • Belarus
  • Kazakhstan
  • Kyrgyzstan
  • Moldova
  • Taijikistan
  • Uzbekistan
  • Ukraine
  • Russia

＜補足＞
情報漏えい

トロイの木馬化されたアプリケーションが実行されると、スパイウェアは、以下の情報を収集します。

• IPアドレス
• MACアドレス
• ユーザー名
• コンピュータ名
• 国名
• Windowsキー
• ブラウザ
• 実行中のプロセス
• デフォルトのブラウザ
• OS情報（バージョン、名称、アーキテクチャ）
• ストレージ情報（容量、ドライブ）
• システムの製造元
• システムモデル
• システム名
• プロセッサー名
• タイムゾーン
• 言語
• 保存されたWindowsの認証情報
• ブラウザのクッキーおよび認証情報
• 以下の暗号資産ウォレットのデータ:
  • Armory
  • Atomic
  • Binance
  • Coinomi
  • Electrum
  • Ethereum
  • Exodus
  • Guarda
  • Monero
• セキュリティ製品
• スパイウェア対策製品
• ファイアウォール製品