TrojanSpy.Win32.NEGASTEAL.YXDIAZ

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

• %System%\Tasks\Updates

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、以下のファイルを作成します。

• %Application Data%\{9 Random Characters}.exe
• %User Temp%\tmp{4 Random Characters}.tmp
• %User Temp%\{8 Random Characters 1}.{3 Random Characters 1}.ps1
• %User Temp%\{8 Random Characters 2}.{3 Random Characters 2}.psm1
• %System%\Tasks\Updates\{9 Random Characters}
• %User Temp%\{7 Random Characters 1}.tmp
• %User Temp%\{7 Random Characters 2}.tmp

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

スパイウェアは、以下のプロセスを追加します。

• "%System%\WindowsPowerShell\v1.0\powershell.exe" Add-MpPreference –ExclusionPath "%Application Data%\{9 Random Characters}.exe"
• "%System%\schtasks.exe\" /Create /TN "Updates\"{9 Random Characters}" /XML "%User Temp%\tmp{Random}.tmp"
• {Malware File Path}\{Malware File Name}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %User Temp%\tmp{4 Random Characters}.tmp
• %User Temp%\{8 Random Characters 1}.{3 Random Characters 1}.ps1
• %User Temp%\{8 Random Characters 2}.{3 Random Characters 2}.psm1
• %System%\Tasks\Updates\{9 Random Characters}
• %User Temp%\{7 Random Characters 1}.tmp
• %User Temp%\{7 Random Characters 2}.tmp

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• https://{BLOCKED}fy.org
• http://{BLOCKED}indowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?{Random}
• tcp://{BLOCKED}0.vietnetnam.com:587
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.34

スパイウェアは、以下を実行します。

• It creates the following scheduled task:
  • Task Name: Updates\{9 Random Characters}
    Triggers:
    • At log on
    • At task creation/modification
    Task Action: %Application Data%\{9 Random Characters}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

<補足>
スパイウェアは、以下を実行します。

• 以下のスケジュールされたタスクを作成します。
  • タスク名： Updates\{ランダムな9文字}
    トリガ：
    • ログオン時
    • タスク作成時 / 変更時
      アクション： %Application Data%\{ランダムな9文字}.exe