TrojanSpy.PS1.NEGASTEAL.AA
Trojan-Dropper.PowerShell.Agent (IKARUS)
Windows
- マルウェアタイプ: スパイウェア/情報窃取型
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、以下のコンポーネントファイルを作成します。
- %Application Data%\SysResetErr\dxgiadaptercache.bat → detected as TrojanSpy.Win32.NEGASTEAL.DOCIA
- %Public%\pkHpumNygD.vbs → executes dxgiadaptercache.bat
- %Application Data%\{8 Random Characters}.{3 Random Characters}.zip → contains the Cookies of Chrome and Firefox
- %Application Data%\{10 Random Characters}.jpeg → saves a snapshot of the user's screen every 20 mins
(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)
スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Public%\{3-5 Random Characters}.exe → detected as TrojanSpy.Win32.NEGASTEAL.DOCIA
(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)
スパイウェアは、以下のフォルダを作成します。
- %Application Data%\{8 Random Characters}.{3 Random Characters}
(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)
スパイウェアは、以下のプロセスにコードを組み込みます。
- %Windows%\Microsoft.NET\Framework\v2.0.50727\RegAsm.exe
(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)
自動実行方法
スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
pkHpumNygD = %Public%\pkHpumNygD.vbs
情報漏えい
スパイウェアは、以下の情報を収集します。
- User Name
- Computer Name
- IP Address
- OS Name
- OS Version Platform
- OS Version
- Processor Name
- Amount of Physical Memory
- Video Card Name
- Video Card Memory
- Screenshots
- Username and Password from the following applications:
- 360 Browser
- 360Chrome
- 7Star
- Amigo
- BlackHawk
- Brave
- CentBrowser
- Chedot
- Chrome
- Chrome Plus
- Chromium
- Citrio
- Coccoc
- Comodo Dragon
- Cool Novo
- Coowon
- CyberFox
- Elements Browser
- Epic Privacy
- Flock
- Foxmail
- IceCat
- IceDragon
- IncrediMail
- Internet Download Manager
- Internet Explorer
- Ipswitch
- Iridium
- jDownloader
- KMeleon
- Kometa
- Liebao Browser
- Mozilla
- Opera Browser
- Opera Mail
- Opera Stable
- Orbitum
- Outlook
- PaleMoon
- Pocomail
- Postbox
- QIP Surf
- QQ Browser
- Safari
- Sea Monkey
- Smart FTP
- Sleipnir 5
- Sleipnir 6
- Sputnik
- SRWare Iron
- Tencent
- The Bat!
- Thunderbird
- Torch
- UCBrowser
- Uran
- Vitalwerks
- Vivaldi
- Waterfox
- WinSCP 2
- WS_FTP
- Yandex
情報収集
スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。
- vip@{BLOCKED}africa.com
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- pkHpumNygD = "%Public%\pkHpumNygD.vbs"
- pkHpumNygD = "%Public%\pkHpumNygD.vbs"
手順 5
以下のファイルを検索し削除します。
- %Application Data%\SysResetErr\dxgiadaptercache.bat
- %Public%\{3-5 Random Characters}.exe
- %Public%\pkHpumNygD.vbs
- %Application Data%\{8 Random Characters}.{3 Random Characters}.zip
- %Application Data%\{10 Random Characters}.jpeg
手順 6
以下のフォルダを検索し削除します。
- %Application Data%\{8 Random Characters}.{3 Random Characters}
手順 7
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.PS1.NEGASTEAL.AA」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください