TrojanSpy.Win32.STEALC.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のコンポーネントファイルを作成します。

• %ProgramData%\sqlite3.dll
• %ProgramData%\freebl3.dll
• %ProgramData%\mozglue.dll
• %ProgramData%\msvcp40.dll
• %ProgramData%\nss3.dll
• %ProgramData%\softokn3.dll
• %ProgramData%\vcruntime140.dll

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c timeout /t 5 & del /f /q "{Malware File Path}\{Malware File Name}" & del "%ProgramData%\*.dll" & exit

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• {Malware File Path}\{Malware File Name}.{Malware File Extension}
• %ProgramData%\{File Name}.dll

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

スパイウェアは、ルートキット機能を備えていません。

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• System Information:
  • Public IP address
  • Geolocation
  • Hardware ID
  • Operating system version
  • System architecture
  • Username
  • Computer name
  • Local time
  • Time zone information
  • Language
  • Keyboard layout
  • If machine is laptop or desktop
  • {Malware File Path}\{Malware File Name}
  • Physical resources
    • CPU core count
    • CPU name
    • RAM amount
    • Number of threads
    • Display resolution
    • GPU driver
  • List of running processes
  • List of installed applications
• Screenshot of current display
• Browser data (e.g. autofills, cookies, credentials, credit card data, browser extensions)
  • Chromium-based browsers
  • Firefox-based browsers
  • Opera-based browsers
• Email credentials:
  • Outlook
• Cryptocurrency wallet data
• Telegram session data
• Steam metadata
• Discord tokens
• Account credentials:
  • Tox
  • Pidgin

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7/b5c26998bb7c2272.php

スパイウェアは、以下を実行します。

• It terminates itself when one of the following conditions is met:
  • If system processor count is less than 2
  • If system display raster lines is less than 666
  • If system default computer language is one of the following:
    • Russian
    • Ukranian
    • Belarussian
    • Kazakh
    • Uzbek (Latin)
  • If system computer name is HAL9TH and username is JohnDoe
  • If system total physical memory is less than 1,111 megabytes
  • If the malware is executed after August 27, 2023
• It accesses the following websites to download its configuration/component files:
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7/b5c26998bb7c2272.php
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/sqlite3.dll
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/freebl3.dll
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/mozglue.dll
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/msvcp40.dll
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/nss3.dll -
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/softokn3.dll
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/vcruntime140.dll

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

スパイウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c timeout /t 5 & del /f /q "{マルウェアのファイルパス}\{マルウェアのファイル名}" & del "%ProgramData%\*.dll" & exit

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• {マルウェアのファイルパス}\{マルウェアのファイル名}.{マルウェアのファイル拡張子}
• %ProgramData%\{ファイル名}.dll

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• システム情報：
  • パブリックIPアドレス
  • 地理的な位置情報
  • ハードウェアID
  • オペレーティングシステム（OS）のバージョン
  • システムアーキテクチャ
  • ユーザ名
  • コンピュータ名
  • 現地時間
  • タイムゾーン情報
  • 言語
  • キーボードの配列
  • コンピュータがラップトップあるいはデスクトップであるかどうか
  • {マルウェアのファイルパス}\{マルウェアのファイル名}
  • 物理的なリソース
    • CPUコアカウント
    • CPUの名前
    • RAM容量
    • スレッドの数
    • 画面解像度
    • GPUドライバ
  • 実行中のプロセスの一覧
  • インストールされているアプリケーションの一覧
• 現在の画面のスクリーンショット
• ブラウザデータ（オートフィル、Cookie、認証情報、クレジットカードデータ、ブラウザ拡張機能）
  • Chromiumベースのブラウザ
  • Firefoxベースのブラウザ
  • Operaベースのブラウザ
• 電子メールの認証情報：
  • Outlook
• 暗号資産（仮想通貨）ウォレットのデータ
• Telegramのセッションデータ
• Steamのメタデータ
• Discordトークン
• アカウントの認証情報：
  • Tox
  • Pidgin

その他

スパイウェアは、以下を実行します。

• 以下の条件のいずれかを満たすと、自身の活動を終了します。
  • コンピュータのプロセッサの数が 2つ未満の場合
  • コンピュータの画面のラスターラインが 666 未満の場合
  • コンピュータの既定言語が以下のいずれかの場合：
    • ロシア語
    • ウクライナ語
    • ベラルーシ語
    • カザフ語
    • ウズベク語（ラテン文字表記）
  • コンピュータ名が HAL9TH、ユーザ名が JohnDoe の場合
  • コンピュータの合計物理メモリが 1,111MB未満の場合
  • 2023 年 8 月 27 日以降にスパイウェアが実行された場合
• 以下の Web サイトにアクセスして、設定ファイルやコンポーネントファイルをダウンロードします。
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7/b5c26998bb7c2272.php
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/sqlite3.dll
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/freebl3.dll
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/mozglue.dll
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/msvcp40.dll
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/nss3.dll -
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/softokn3.dll
  • http://{BLOCKED}.{BLOCKED}.{BLOCKED}.7:80/714211d16652b54f/vcruntime140.dll