• Email
• Facebook
• Twitter
• Google+
• Linkedin

TrojanSpy.MSIL.REDLINE.YJDIM

---

• マルウェアタイプ: スパイウェア/情報窃取型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %ProgramData%\MuteApps\MDOH.exe ← Dropped copy of itself with different file size
• %ProgramData%\MuteApps\uninstall.dat ← Contains the response received from the contacted URL in HTML format
• %Application Data%\screen.jpg ← Contains the captured screen from the affected system
• %User Temp%\tmp1B7E.tmp.bat ← Contains a batch code that executes the dropped %ProgramData%\MuteApps\MDOH.exe after 3 seconds

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 . %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスを追加します。

• powershell runas -Command Add-MpPreference -ExclusionPath '{Malware Path}\{Malware File Name}
• -o xmr-eu1.nanopool.org:14433 -u 46P7ufDSCru9nnoVhSdPMRGHGuxnFrwTRP2kBa6ZyinnUpMWgTVEPqgTQXUgYEPc7CNKqgVLQFSJAWCSL3HuRVStS4G7cBX --tls --coin monero --max-cpu-usage=50 --donate-level=1 -opencl
• cmd /c schtasks /create /f /sc MINUTE /mo 5 /RL HIGHEST /tn "MDOH" /tr "%ProgramData%\MuteApps\MDOH.exe"

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• MDOH

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

スパイウェアは、ルートキット機能を備えていません。

情報漏えい

スパイウェアは、以下の情報を収集します。

• CPU Information
• GPU Information
• RAM Information
• OS Information
• Computer Name
• Username
• System Locale
• Region
• Installed Anti-Virus Products
• Running Processes
• Screen Resolution
• Screen Capture

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.241/BEBRIK.php

その他

スパイウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\MDOH

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.241/SOSORRY.php
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.241/EOK.php
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.241/TOKYO.php
• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.241/CHECK.php

スパイウェアは、以下を実行します。

• It creates the following scheduled task:
  
  • Name: MDOH
  • Trigger: Daily (After triggered, repeat every 5 minutes indefinitely)
  • Action: cmd /c %ProgramData%\MuteApps\MDOH.exe
• It steals browser data from:
  
  • Opera
  • Mozilla Firefox
• It sends the stolen information depending on the following intervals:
  
  • 15 seconds
  • 30 seconds
  • Random number of seconds
• It uses XMRig to mine the following cryptocurrency coins in the affected system:
  
  • Monero
  • Raven
  • Verus
• It uses binary padding to inflate its file size and its dropped %ProgramData%\MuteApps\MDOH.exe file

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

スパイウェアは、以下のファイルを作成します。

• %ProgramData%\MuteApps\MDOH.exe ← 異なるファイルサイズで自身のコピーを作成する
• %ProgramData%\MuteApps\uninstall.dat ← 問い合わせたURLから受信した応答をHTML形式で格納する
• %Application Data%\screen.jpg ← 影響を受けたコンピュータからキャプチャしたスクリーン画面を含む
• %User Temp%\tmp1B7E.tmp.bat ← 作成された「%ProgramData%\MuteApps\MDOH.exe」を3秒後に実行するバッチコードを含む

情報漏えい

スパイウェアは、以下の情報を収集します。

• CPU情報
• GPU情報
• RAM情報
• オペレーティングシステム（OS）情報
• コンピュータ名
• ユーザ名
• システムロケール
• 地域
• インストールされているウイルス対策製品
• 実行中のプロセス
• 画面解像度
• スクリーンキャプチャ

その他

スパイウェアは、以下を実行します。

• 以下のスケジュールされたタスクを作成します。
  • タスク名： MDOH
  • トリガ： 毎日（トリガ後、5分毎に無期限に繰り返す）
  • アクション： cmd /c %ProgramData%\MuteApps\MDOH.exe
• 以下からブラウザデータを収集します。
  • Opera
  • Mozilla Firefox
• 収集した情報を以下の間隔で送信します。
  • 15秒
  • 30秒
  • ランダムな秒数
• 暗号資産（仮想通貨）採掘ツール「XMRig」を使って、影響を受けるコンピュータ内で以下の暗号資産を採掘します。
  • Monero
  • Raven
  • Verus
• バイナリパディングを使用して自身のファイルおよび作成されたファイル「%ProgramData%\MuteApps\MDOH.exe」のサイズを大きくします。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください