TrojanSpy.MSIL.NEGASTEAL.DYSGWI

2020年6月15日

解析者: Clive Fuentebella

別名:

HEUR:Trojan-PSW.MSIL.Agensla.gen (KASPERSKY)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: スパイウェア/情報窃取型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 524,288 bytes

タイプ EXE

メモリ常駐はい

発見日 2020年6月11日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

%User Temp%\tmp{Random characters}.tmp (XML version of created scheduled task)

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%Application Data%\{Random characters}.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスを追加します。

{Malware file name and path} "{path}"
"%System%\schtasks.exe" /Create /TN "Updates\{Random characters}" /XML "%User Temp%\tmp{Random characters}.tmp"

スパイウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したスパイウェア）を終了し、侵入したコンピュータ内で作成した自身のコピーの方を実行します。

他のシステム変更

スパイウェアは、以下のファイルを削除します。

%User Temp%\tmp{Random characters}.tmp

情報漏えい

スパイウェアは、以下の情報を収集します。

Amount of memory
Clipboard data
Computer name
MAC Address
Motherboard information
OS name
Processor information
Username
Credentials from the following applications:
- 360 Browser
- 7Star
- Amigo
- Apple
- Becky!
- BlackHawk
- Brave
- CentBrowser
- Chedot
- Chrome
- Chromium
- Citrio
- ClawsMail
- Coccoc
- Comodo Dragon
- Cool Novo
- Coowon
- CoreFTP
- CyberFox
- DynDNS
- Elements
- Epic Privacy
- Eudora
- Firefox
- Foxmail
- FTP Navigator
- FTPCommander
- FTPGetter
- IceCat
- IceDragon
- IncrediMail
- Internet Download Manager
- Iridium
- jDownloader
- K-Meleon
- Kometa
- Liebao
- Microsoft Edge
- NO-IP
- OpenVPN
- Opera
- Orbitum
- Outlook
- PaleMoon
- Paltalk
- Pocomail
- Postbox
- Psi
- QIP Surf
- QQBrowser
- SeaMonkey
- Sleipnir 6
- SmartFTP
- Sputnik
- TheBat
- Thunderbird
- Torch
- Trillian
- UCBrowser
- Uran
- Vivaldi
- WaterFox
- Web Credentials
- Windows Credential Picker Protector
- Windows Credentials
- Windows Domain Certificate Credential
- Windows Domain Password Credential
- Windows Extended Credential
- Windows Secure Note
- Windows Web Password Credential
- WinSCP
- WS_FTP
- Yandex

情報収集

スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

{BLOCKED}ogs@kbbsthai.com

その他

以下のスケジュールされたタスクを追加します：

Name: \Updates\{Random characters}
Trigger: At log on, at task creation/modification
Action: Run %Application Data%\{Random characters}.exe

<補足>
インストール