TrojanSpy.Win32.VIDAR.CFC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• where gathered information is archived before exfiltrated:
  • %ProgramData%\{Random numbers}\_{Random numbers}.zip
• where gathered information is stored:
  • %ProgramData%\{Random numbers}\outlook.txt
  • %ProgramData%\{Random numbers}\passwords.txt
  where gathered information is stored:
  • %ProgramData%\{Random numbers}\outlook.txt
  • %ProgramData%\{Random numbers}\passwords.txt
  • %ProgramData%\{Random numbers}\screenshot.jpg
  • %ProgramData%\{Random numbers}\system.txt
  • %ProgramData%\{Random numbers}\temp
  • %ProgramData%\{Random numbers}\autofill\{stolen information}
  • %ProgramData%\{Random numbers}\cc\{stolen information}
  • %ProgramData%\{Random numbers}\cookies\{stolen information}
  • %ProgramData%\{Random numbers}\crypto\{Cryptocurrency name}\{stolen wallet information}
  • %ProgramData%\{Random numbers}\screenshot.jpg
  • %ProgramData%\{Random numbers}\system.txt
  • %ProgramData%\{Random numbers}\temp
  • %ProgramData%\{Random numbers}\autofill\{stolen information}
  • %ProgramData%\{Random numbers}\cc\{stolen information}
  • %ProgramData%\{Random numbers}\cookies\{stolen information}
  • %ProgramData%\{Random numbers}\crypto\{Cryptocurrency name}\{stolen wallet information}

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のフォルダを作成します。

• where stolen information is stored:
  • %ProgramData%\{Random numbers}
  • %ProgramData%\{Random numbers}\cc
  • %ProgramData%\{Random numbers}\autofill
  • %ProgramData%\{Random numbers}\cookies
  • %ProgramData%\{Random numbers}\crypto

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %ProgramData%\freebl3.dll
• %ProgramData%\mozglue.dll
• %ProgramData%\msvcp140.dll
• %ProgramData%\nss3.dll
• %ProgramData%\softokn3.dll
• %ProgramData%\sqlite3.dll
• %ProgramData%\vcruntime140.dll
• %ProgramData%\{Random numbers}\outlook.txt
• %ProgramData%\{Random numbers}\passwords.txt
• %ProgramData%\{Random numbers}\screenshot.jpg
• %ProgramData%\{Random numbers}\system.txt
• %ProgramData%\{Random numbers}\temp
• %ProgramData%\{Random numbers}\autofill\{stolen information}
• %ProgramData%\{Random numbers}\cc\{stolen information}
• %ProgramData%\{Random numbers}\cookies\{stolen information}
• %ProgramData%\{Random numbers}\crypto\{Cryptocurrency name}\{stolen wallet information}

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のフォルダを削除します。

• after exfiltration:
  • %ProgramData%\{random numbers}
  • %ProgramData%\{random numbers}\autofill
  • %ProgramData%\{random numbers}\cc
  • %ProgramData%\{random numbers}\cookies
  • %ProgramData%\{random numbers}\crypto

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

スパイウェアは、ルートキット機能を備えていません。

プロセスの終了

スパイウェアは、以下の不正プログラムに関連するプロセスを終了します。

• /c taskkill /pid {Process ID} & erase {MalwarePath}\{Malware Name} & RD /S /Q %ProgramData%\{Random numbers}\* & exit

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/freebl3.dll
• http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/mozglue.dll
• http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/msvcp140.dll
• http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/nss3.dll
• http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/softokn3.dll
• http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/sqlite3.dll
• http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/vcruntime40.dll

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• Browser data (e.g. cookies, credentials, autofills, credit card data)
  • Google Chrome
  • Chromium
  • Kometa
  • Amigo
  • Torch
  • Orbitum
  • Comodo Dragon
  • Nichrome
  • Maxthon5
  • Sputnik
  • EPB
  • Vivaldi
  • CocCoc Browser
  • Uran Browser
  • QIP Surf
  • Cent
  • Elements Browser
  • TorBro
  • Microsoft Edge
  • CryptoTab
  • Brave
  • Opera
  • Mozilla Firefox
  • Pale Moon
  • Waterfox
  • Cyberfox
  • BlackHawk
  • IceCat
  • KMeleon
  • Thunderbird
• Email credentials:
  • Outlook
• Cryptocurrency Wallet data
  • Anoncoin
  • BBQCoin
  • Bitcoin
  • DashCore
  • devcoin
  • digitalcoin
  • ElectronCash
  • Electrum
  • Electrum-LTC
  • Ethereum
  • Exodus
  • Florincoin
  • Franko
  • Freicoin
  • GoldCoinGLD
  • Infinitecoin
  • IOCoin
  • Ixcoin
  • jaxx
  • Litecoin
  • Megacoin
  • Mincoin
  • MultiDoge
  • Namecoin
  • Primecoin
  • Terracoin
  • YACoin
  • Zcash
• System Information
  • OS Version and Architecture
  • Username
  • Computer name
  • System Language
  • Machine ID
  • GUID
  • Domain Name
  • Workgroup
  • Keyboard Languages
• Hardware Information
  • Processor
  • # of Logical Processors
  • Videocard
  • Display resolution
  • RAM
  • If laptop or desktop
• Local time & zone
• Network Information
  • IP Address
  • Country
• Installed software & version
• Screenshot of current display

その他

スパイウェアは、以下を実行します。

• This Trojan Spy connects to the following website to send and receive information:
  • http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz
• It accesses the following websites to download its configuration/component files:
  • http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/freebl3.dll
  • http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/mozglue.dll
  • http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/msvcp140.dll
  • http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/nss3.dll
  • http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/softokn3.dll
  • http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/sqlite3.dll
  • http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/vcruntime140.dll
  • http://{BLOCKED}3g7u3EO07WT42n7f4vIn5fZH.biz/main.php {configuration to collect particular files}
• It terminates itself if any of the user default language identifiers is found:
  • Kazakh (Kazakhstan)
  • Russian (Russia)
  • Ukrainian (Ukraine)
  • Belarusian (Belarus)
  • Uzbek - Latin (Uzbekistan)
  • Azeri - Cyrillic (Azerbaijan)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

スパイウェアは、以下のいずれかのコンピュータ名が感染コンピュータで確認される場合、自身を終了します。

• HAL9TH
  If true, checks if username is
  • JohnDoe

マルウェアは、脆弱性を利用した感染活動を行いません。