TrojanSpy.Win32.GRANDOREIRO.MLMC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %ProgramData%\QLVGJVA2K31qlvghfre_287.xml
• {malware filepath}\tenaqberveb.cfg

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

• regmon.exe
• procmon.exe
• filemon.exe
• Wireshark.exe
• procexp.exe
• ProcessHacker.exe
• PCHunter32.exe
• JoeTrace.exe
• ResourceHacker.exe

情報漏えい

スパイウェアは、以下の情報を収集します。

• Username
• System Information
• OS Name and Version
• Hostname
• Geolocation
• IP Address
• List of Installed Applications
• List of Installed Antivirus

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://{BLOCKED}i.com/json

スパイウェアは、以下を実行します。

• It compares the OS Name of the affected system before proceeding to its original routine to the following:
  • Windows XP
  • Windows Vista
  • Windows 7
  • Windows 8
  • Windows 10
  • Windows 11
• It compares the Hostname of the affected system before proceeding to its original routine to the following:
  • WIN-VUA6POUV5UP
  • Win-StephyPC3
  • difusor
  • DESTOP2457
  • JOHN-PC
  • WORK
• It compares its execution path to check for analysis tools:
  • D:\programming
  • D:\script
• It compares the country code of the affected system before proceeding to its original routine to the following targeted countries:
  • BZ - Belize
  • CR - Costa Rica
  • GT - Guatemala
  • HN - Honduras
  • MX - Mexico
  • NI - Nicaragua
  • PA - Panama
  • SV - El Salvador
  • AR - Argentina
  • BO - Bolivia
  • BR - Brazil
  • CL - Chile
  • CO - Colombia
  • EC - Ecuador
  • PE - Peru
  • UY - Uruguay
  • AG - Antigua and Barbuda
  • BB - Barbados
  • BS - Bahamas
  • DO - Dominican Republic
  • HT - Haiti
  • JM - Jamaica
  • PR - Puerto Rico
  • CU - Cuba
  • CW - Curacao
  • BE - Belgium
  • CH - Switzerland
  • DK - Denmark
  • IT - Italy
  • PL - Poland
  • PT - Portugal
  • FR - France
  • ES - Spain
  • IE - Ireland