• Email
• Facebook
• Twitter
• Google+
• Linkedin

TrojanSpy.Win32.COINSTEAL.CCG

---

• マルウェアタイプ: スパイウェア/情報窃取型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• %All Users Profile%\Newu\City.exe
• %All Users Profile%\ipras.vbs
• "%System%\WScript.exe" "%All Users Profile%\ipras.vbs"
• %All Users Profile%\ipras.vbs
• %User Temp%\giulkj.exe
• %User Temp%\giulkj.exe

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のフォルダを作成します。

• %All Users Profile%\Newfol
• %All Users Profile%\3K6ZmDsQ
• %All Users Profile%\3K6ZmDsQ\Files
• %All Users Profile%\3K6ZmDsQ\Files\Browsers\Cookies
• %All Users Profile%\3K6ZmDsQ\Files\Files\Desktop
• %All Users Profile%\3K6ZmDsQ\Files\Files\Other
• %All Users Profile%\3K6ZmDsQ\Files\Coins\ElectronCash
• %All Users Profile%\Newu
• %All Users Profile%\3K6ZmDsQ\Files\Coins
• %All Users Profile%\3K6ZmDsQ\Files\Files
• %All Users Profile%\3K6ZmDsQ\Files\Browsers
• %All Users Profile%\3K6ZmDsQ\Files\Coins\Electrum
• %All Users Profile%\3K6ZmDsQ\Files\Coins\Electrum-btcp

(註：%All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。)

他のシステム変更

スパイウェアは、以下のファイルを削除します。

• %User Temp%\giulkj.exe
• %User Temp%\hjkgh.txt
• %User Temp%\rtjhfgdf.txt

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

作成活動

スパイウェアは、以下のファイルを作成します。

• %AppDataLocal%\Google\Chrome\User Data\Profile 3\WebDataCopy
• %All Users Profile%\3K6ZmDsQ\moz_cookies.db-shm
• %Application Data%\Opera Software\Opera Stable\WebDataCopy
• %AppDataLocal%\CentBrowser\User Data\Default\LoginDataCopy
• %AppDataLocal%\CentBrowser\User Data\Default\CookiesCopy
• %AppDataLocal%\CocCoc\Browser\User Data\Default\WebDataCopy
• %AppDataLocal%\Slimjet\User Data\Default\CookiesCopy
• %AppDataLocal%\Comodo\Dragon\User Data\Default\CookiesCopy
• %AppDataLocal%\CentBrowser\User Data\Default\WebDataCopy
• %AppDataLocal%\Google\Chrome\User Data\Profile 2\LoginDataCopy
• %AppDataLocal%\Chromium\User Data\Default\CookiesCopy
• %AppDataLocal%\CocCoc\Browser\User Data\Default\CookiesCopy
• %All Users Profile%\3K6ZmDsQ\Files\_FilePasswords.txt
• %AppDataLocal%\Chromium\User Data\Profile 3\WebDataCopy
• %AppDataLocal%\Vivaldi\User Data\Default\LoginDataCopy
• %AppDataLocal%\Comodo\Dragon\User Data\Default\LoginDataCopy
• %AppDataLocal%\Comodo\Dragon\User Data\Default\WebDataCopy
• %AppDataLocal%\360Chrome\Chrome\User Data\Default\CookiesCopy
• %All Users Profile%\ipras.vbs
• %AppDataLocal%\Chromium\User Data\Default\WebDataCopy
• %All Users Profile%\Newu\City.exe
• %AppDataLocal%\Google\Chrome\User Data\Profile 3\LoginDataCopy
• %All Users Profile%\3K6ZmDsQ\Files\Files\Desktop\note.txt
• %All Users Profile%\3K6ZmDsQ\msVn6Vka.zip
• %User Temp%\ergdvdc.txt
• %Application Data%\Opera Software\Opera Stable\CookiesCopy
• %AppDataLocal%\CocCoc\Browser\User Data\Default\LoginDataCopy
• %AppDataLocal%\Slimjet\User Data\Default\WebDataCopy
• %AppDataLocal%\Google\Chrome\User Data\Profile 2\CookiesCopy
• %All Users Profile%\3K6ZmDsQ\Files\Browsers\_FilePasswords.txt
• %All Users Profile%\3K6ZmDsQ\moz_cookies.db-wal
• %AppDataLocal%\Vivaldi\User Data\Default\WebDataCopy
• %AppDataLocal%\Vivaldi\User Data\Default\CookiesCopy
• %AppDataLocal%\Google\Chrome\User Data\Profile 3\CookiesCopy
• %AppDataLocal%\360Chrome\Chrome\User Data\Default\WebDataCopy
• %AppDataLocal%\Chromium\User Data\Profile 2\CookiesCopy
• %AppDataLocal%\Chromium\User Data\Profile 1\WebDataCopy
• %AppDataLocal%\Google\Chrome\User Data\Profile 1\CookiesCopy
• %AppDataLocal%\Chromium\User Data\Profile 1\CookiesCopy
• %AppDataLocal%\Torch\User Data\Default\LoginDataCopy
• %AppDataLocal%\Google\Chrome\User Data\Profile 1\LoginDataCopy
• %All Users Profile%\3K6ZmDsQ\Files\Browsers\Cookies\Mozilla_Firefox_Cookies_PXRQd0H.txt
• %Application Data%\Opera Software\Opera Stable\LoginDataCopy
• %All Users Profile%\3K6ZmDsQ\Files\Browsers\_FileCookies.txt
• %AppDataLocal%\Google\Chrome\User Data\Profile 1\WebDataCopy
• %Application Data%\brave\LoginDataCopy
• %AppDataLocal%\Torch\User Data\Default\WebDataCopy
• %Application Data%\brave\WebDataCopy
• %AppDataLocal%\Chromium\User Data\Profile 2\LoginDataCopy
• %AppDataLocal%\Torch\User Data\Default\CookiesCopy
• %AppDataLocal%\Chromium\User Data\Default\LoginDataCopy
• %AppDataLocal%\Chromium\User Data\Profile 3\CookiesCopy
• %AppDataLocal%\Chromium\User Data\Profile 1\LoginDataCopy
• %All Users Profile%\3K6ZmDsQ\Files\Browsers\_FileForms.txt
• %AppDataLocal%\Chromium\User Data\Profile 2\WebDataCopy
• %AppDataLocal%\Chromium\User Data\Profile 3\LoginDataCopy
• %All Users Profile%\3K6ZmDsQ\Files\Browsers\Cookies\Google_Chrome_Default_Cookies.txt
• %Application Data%\brave\CookiesCopy
• %All Users Profile%\3K6ZmDsQ\moz_cookies.db
• %AppDataLocal%\360Chrome\Chrome\User Data\Default\LoginDataCopy
• %All Users Profile%\3K6ZmDsQ\Files\_Info.txt
• %AppDataLocal%\Google\Chrome\User Data\Profile 2\WebDataCopy
• %AppDataLocal%\Slimjet\User Data\Default\LoginDataCopy
• %All Users Profile%\3K6ZmDsQ\Files\Browsers\_FileCC.txt
• %All Users Profile%\3K6ZmDsQ\Files\Files\Desktop\Email and Password List.txt
• %All Users Profile%\3K6ZmDsQ\Files\_Screen.jpg

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %All Users Profile%フォルダは、ユーザの共通プロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\All Users” です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData” です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

スパイウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}i.com/line
• http://{BLOCKED}er.org
• http://{BLOCKED}1.info

このウイルス情報は、自動解析システムにより作成されました。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください