TrojanSpy.Win32.MARSTEALER.B

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• {Malware Path}\{Stolen File} → Delete Afterwards
• {Malware Path}\{8 random characters} → Delete Afterwards

スパイウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c timeout /t 5 & del /f /q "{Malware Path\Malware Filename}" & exit

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、実行後、自身を削除します。

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• Telegram session data
• Discord session data
• Browser data (e.g. cookies, downloads, history, credentials, autofills, credit card data)
  • Chrome
  • ChromeBeta
  • ChromeCanary
  • Chromium
  • Edge_Chromium
  • Kometa
  • Amigo
  • Torch
  • Orbitum
  • Comodo
  • Nichrome
  • Maxthon5
  • Sputnik
  • EPB
  • Vivaldi
  • CocCoc
  • Uran
  • QIP
  • Cent
  • Elements
  • TorBro
  • CryptoTab
  • Brave
  • Opera
  • OperaGX
  • OperaNeon
  • Firefo
  • SlimBrowser
  • PaleMoon
  • Waterfox
  • Cyberfox
  • BlackHawk
  • IceCat
  • KMeleo
• Cryptocurrency Wallet data
  • Ethereum
  • Electrum
  • ElectrumLTC
  • Exodus
  • ElectronCash
  • MultiDoge
  • JAXX
  • Atomic
  • Binance
  • Coinomi
• IP
• Country
• Working Path
• Language
• Keyboard layout
• RAM information
• Processor information
• Video card information
• Display Resolution
• Computer name
• Username
• Domain name
• Machine ID
• GUID
• Installed Software
• Screenshot
• Time executed
• Device used
• Operating System
• It gather files based on its configuration file received from the C&C server.
  • *.txt
  • *.pdf
  • *.xss
  • *.seco
  • *.doc
  • *.zip
  • *.json
• Mail client:
  • Thunderbird

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}.{BLOCKED}.41.179/game.php

その他

スパイウェアは、以下を実行します。

• 以下のURLに接続し、設定を解決します。
  • http://{BLOCKED}.{BLOCKED}.41.179/game.php
• 以下のURLに接続し、%ProgramData%にノーマルファイルをダウンロードします。
  • http://{BLOCKED}.{BLOCKED}.41.179/request
  • freebl3.dll
  • mozglue.dll
  • msvcp140.dll
  • nss3.dll
  • softokn3.dll
  • vcruntime140.dll
• 以下のロケール識別子のいずれかが見つかった場合、自身を終了します。
  • Kazakh (Kazakhstan)
  • Russian (Russia)
  • Belarusian (Belarus)
  • Uzbek (Latin, Uzbekistan)
  • Azerbaijani (Cyrillic, Azerbaijan)
• 感染システムに以下のコンピュータ名が見つかった場合、自身を終了します。
  • HAL9TH
  該当した場合ユーザ名が以下であるかをチェックする
  • JohnDoe
• 現在の日付が2022年7月4日より後である場合、自身を終了します。

＜補足＞
インストール

スパイウェアは、以下のファイルを作成します。

• {スパイウェアのパス}\{窃取ファイル} → 後に削除される
• {スパイウェアのパス}\{ランダムな8 文字} → 後に削除される

スパイウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c timeout /t 5 & del /f /q "{スパイウェアのパス\スパイウェアのファイル名}" & exit

スパイウェアは、実行後、自身を削除します。

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• Telegramのセッションデータ
• Discordのセッションデータ
• ブラウザデータ（例：クッキー、ダウンロード、履歴、認証情報（クレデンシャル）、オートフィル、クレジットカードデータなど）
  • Chrome
  • ChromeBeta
  • ChromeCanary
  • Chromium
  • Edge_Chromium
  • Kometa
  • Amigo
  • Torch
  • Orbitum
  • Comodo
  • Nichrome
  • Maxthon5
  • Sputnik
  • EPB
  • Vivaldi
  • CocCoc
  • Uran
  • QIP
  • Cent
  • Elements
  • TorBro
  • CryptoTab
  • Brave
  • Opera
  • OperaGX
  • OperaNeon
  • Firefo
  • SlimBrowser
  • PaleMoon
  • Waterfox
  • Cyberfox
  • BlackHawk
  • IceCat
  • KMeleo
• 暗号資産ウォレットデータ
  • Ethereum
  • Electrum
  • ElectrumLTC
  • Exodus
  • ElectronCash
  • MultiDoge
  • JAXX
  • Atomic
  • Binance
  • Coinomi
• IP
• 国
• ワーキングパス
• 言語
• キーボードレイアウト
• RAM情報
• プロセッサ情報
• ビデオカード情報
• ディスプレイの解像度
• コンピュータ名
• ユーザ名
• ドメイン名
• コンピュータ ID
• GUID
• インストールされているソフトウェア
• スクリーンショット
• 実行された時刻
• 使用されているデバイス
• オペレーティングシステム（OS）
• C&Cサーバーから受け取った設定ファイルに基づいて、以下のファイルを収集する
  • *.txt
  • *.pdf
  • *.xss
  • *.seco
  • *.doc
  • *.zip
  • *.json
• Eメールクライエント:
  • Thunderbird