TrojanSpy.Win32.ENIGMASTEALER.YXDBC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

スパイウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
Tracing = enigma_RASMANCS

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft
Tracing = enigma_RASAPI32

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.146.29/errlog/gate.php?hwid={HWID}
• https://api.telegram.org/{BLOCKED}88:AAFlcHb4n74ushXHLzzt87RuHjx4jSNAsVA/getUpdates

情報漏えい

スパイウェアは、以下の情報を収集します。

• CMD directory
• Computer name
• Extensions included in PATH
• Home drive
• Home path
• Logon server
• OpenSSL flags
• Operating system
• PATH
• Powershell module path
• Processor architecture
• Processor count
• Processor identifier
• Processor level
• System drive
• System root
• User domain
• User name
• User profile
• Windows directory

その他

スパイウェアは、以下を実行します。

• It steals tokens and passwords stored in the following web browsers:
  • Chromium
  • Google Chrome
  • Opera
  • Iridium
  • 7Star
  • CentBrowser
  • Chedot
  • Vivaldi
  • Kometa
  • Elements
  • Epic
  • Sleipnir
  • Citrio
  • Coowon
  • liebao
  • QIP Surf
  • Orbutym
  • Comodo
  • Amigo
  • Torch
  • Yandex
  • 360Browser
  • Maxthon
  • K-Melon
  • CocCoc
  • Brave
  • Microsoft Edge
• It connects to https://api.telegram.org/{BLOCKED}88:AAFlcHb4n74ushXHLzzt87RuHjx4jSNAsVA/
  • to retrieve malware updates
  • to send messages to the threat actor
  • to upload stolen information