TrojanSpy.Win32.VIDAR.CDR

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %ProgramData%\freebl3.dll
• %ProgramData%\mozglue.dll
• %ProgramData%\msvcp140.dll
• %ProgramData%\nss3.dll
• %ProgramData%\softokn3.dll
• %ProgramData%\vcruntime140.dll
• %ProgramData%\{random}\files\passwords.txt
• %ProgramData%\{random}\files\Cookies\IE_Cookies.txt
• %ProgramData%\{random}\files\Cookies\Edge_Cookies.txt
• %ProgramData%\{random}\files\Cookies\Mozilla Firefox_{random}.default.txt
• %ProgramData%\{random}\files\Autofill\Mozilla Firefox_{random}.default.txt
• %ProgramData%\{random}\files\History\Mozilla Firefox_{random}.default.txt
• %ProgramData%\{random}\files\History\Google Chrome_Default.txt
• %ProgramData%\{random}\files\CC\Google Chrome_Default.txt
• %ProgramData%\{random}\files\temp
• %ProgramData%\{random}\files\Autofill\Google Chrome_Default.txt
• %ProgramData%\{random}\files\outlook.txt
• %ProgramData%\{random}\files\information.txt
• %ProgramData%\{random}\files\Files\Default.zip
• %ProgramData%\{random}\files\screenshot.jpg
• %ProgramData%\{random}\{random}.zip
• %ProgramData%\{random}.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c taskkill /im {Malware name} /f & timeout /t 6 & del /f /q "{Malware path and name}" & del %ProgramData%\*.dll & exit

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のフォルダを作成します。

• %ProgramData%\{random}
• %ProgramData%\{random}\files

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• https://{BLOCKED}on.online/@{BLOCKED}niax
• http://{BLOCKED}.{BLOCKED}.147.143/1149
• http://{BLOCKED}.{BLOCKED}.147.143/freebl3.dll
• http://{BLOCKED}.{BLOCKED}.147.143/mozglue.dll
• http://{BLOCKED}.{BLOCKED}.147.143/msvcp140.dll
• http://{BLOCKED}.{BLOCKED}.147.143/nss3.dll
• http://{BLOCKED}.{BLOCKED}.147.143/softokn3.dll
• http://{BLOCKED}.{BLOCKED}.147.143/vcruntime140.dll