• Email
• Facebook
• Twitter
• Google+
• Linkedin

TrojanSpy.MSIL.NEGASTEAL.THGAABC

---

• マルウェアタイプ: スパイウェア/情報窃取型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Application Data%\BttqxcYvYaRne.exe → Copy of itself
• &User Temp%\tmp{Random 4 Characters}.tmp
• &User Temp%{8 Random Characters}.{3 Random Characters}.ps1 → Deletes Afterwards
• &User Temp%\{8 Random Characters}.{3 Random Characters}.psm1 → Deletes Afterwards
• %AppDataLocal%\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive
• %Application Data%\{8 Random Characters}.{3 Random Characters}\Chrome\Default\Cookies
• %Application Data%\{8 Random Characters}.{3 Random Characters}\Firefox\Profiles\dxxbjsgn.default\cookies.sqlite

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

スパイウェアは、以下のプロセスを追加します。

• %System%\WindowsPowerShell\v1.0\powershell.exe" Add-MpPreference -ExclusionPath "%Application Data%\BttqxcYvYaRne.exe"
• %System%\schtasks.exe" /Create /TN "Updates\BttqxcYvYaRne" /XML "&User Temp%\tmp{Random 4 Characters}.tmp"

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

スパイウェアは、以下のファイルを改変します。

• %System%\drivers\etc\hosts

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

情報漏えい

スパイウェアは、以下の情報を収集します。

• Current Time
• Username
• Computer Name
• OS Fullname
• CPU Information
• RAM Information
• IP Address


• Credentials from the following applications:
• Browsers:
• 360 Browser
• 7Star
• Amigo
• BlackHawk
• Brave
• CentBrowser
• Chedot
• Chrome
• Chromium
• Citrio
• Coccoc
• Comodo Dragon
• Cool Novo
• Coowon
• CyberFox
• Edge Chromium
• Elements Browser
• Epic Privacy
• Falkon Browswer
• Firefox
• Flock
• Flock Browser
• IceCat
• IceDragon
• IE/Edge
• Iridium
• K-Meleon
• Kometa
• Liebao Browser
• Opera Stable
• Orbitum
• PaleMoon
• QIP Surf
• QQ Browser
• Safari for Windows
• SeaMonkey
• Sleipnir 6
• Sputnik
• Torch
• UC Browser
• Uran
• Vivaldi
• WaterFox
• Yandex


• Email Clients
• Becky!
• Claws Mail
• eM client
• Eudora
• Foxmail
• IncrediMail
• Mailbird
• Opera Mail
• Outlook
• Pocomail
• Postbox
• The Bat!
• Thunderbird
• Windows Mail App


• FTPs
• CoreFTP
• FileZilla
• FlashFXP
• FTP Commander
• FTP Getter
• FTP Navigator
• SmartFTP
• WinSCP
• WS_FTP


• VPNs
• NordVPN
• OpenVPN
• Private Internet Access


• Instant Messaging Applications
• Discord
• Psi/Psi+
• Trillian


• Other Applications
• Internet Download Manager
• Jdownloader 2.0
• MySQL Workbench


• Connect to the following URL to retrieve affected system's IP address:
• https://{BLOCKED}ify.org

情報収集

スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• Host: {BLOCKED}handsand.com
  Email: in{BLOCKED}handsand.com
  Username: {BLOCKED}0
  Password: {BLOCKED}&W(LN?
  

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください