TrojanSpy.Win32.GRANDOREIRO.MLMA

2023年11月14日

解析者: Leidryn Saludez

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: スパイウェア/情報窃取型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 246742704 bytes

タイプ EXE

メモリ常駐なし

発見日 2023年10月18日

ペイロードシステム情報の収集, URLまたはIPアドレスに接続, システムのレジストリの変更

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

IntelWassing39

スパイウェアは、感染コンピュータ上のメモリに以下のプロセスを確認すると、自身を終了します。

regmon.exe
filemon.exe
Wireshark.exe
ProcessHacker.exe
PCHunter64.exe
PCHunter32.exe
JoeTrace.exe
ResourceHacker.exe

情報漏えい

スパイウェアは、以下の情報を収集します。

Username
Computer Name
System Information
OS Name and Version
Hostname
Geolocation
IP Address
List of Installed Applications
List of Installed Antivirus
Date and Time of Execution

その他

スパイウェアは、以下を実行します。

It compares the country code of the affected system before proceeding to its original routine to the following targeted countries:
- GT - Guatemala
- HN - Honduras
- MX - Mexico
- NI - Nicaragua
- PA - Panama
- SV - El Salvador
- AR - Argentina
- BO - Bolivia
- BR - Brazil
- EC - Ecuador
- PE - Peru
- PY - Paraguay
- UY - Uruguay
- VE - Venezuela
- BB - Barbados
- BS - Bahamas
- DO - Dominican Republic
- HT - Haiti
- JM - Jamaica
- KY - Cayman Islands
- CH - Switzerland
- IT - Italy
- PL - Poland
- UK - United Kingdom
- FR - France
- ES - Spain
- IE - Ireland
It compares the Hostname of the affected system before proceeding to its original routine to the following:
- WIN-VUA6POUV5UP
- JOHN-PC
- WORK
It compares the OS Name of the affected system before proceeding to its original routine to the following:
- Windows XP
- Windows Vista
- Windows 7
- Windows 8
- Windows 10
- Windows 11
This Trojan Spy connects to the following URL(s) to get the affected system's IP address:
- http://{BLOCKED}i.com/json
It uses Domain Genaration Algorithm (DGA) to generate its C2 Server.
It has keylogging capabilities.
It steals information from the following applications if found in the affected system:
- Mail Client:
  - Microsoft Outlook
  - Software\Clients\Mail
- Banking:
  - ACB Carribean
  - Alliance Bank
  - Allied Bank
  - Atlantic Bank
  - Banco BISA
  - Banco Unión
  - Banco de Crédito
  - Banco Nacional
  - Banco Económico
  - Banco Ganadero
  - BNamericas
  - Banco Los Andes
  - Banco Mercantil
  - Banca por Internet
  - BMSC
  - BancoSol
  - Bank of Valletta
  - BBVA
  - Belize Bank
  - Butterfield Group
  - Caja de Ahorros
  - Choice Bank
  - CIBC
  - CIBC First Carribean
  - Citibank
  - Credit Suisse
  - Davivienda
  - Doral Bank
  - e-Bandes
  - e-Bisa
  - FIMBank
  - HRCU Online Account
  - HSBC Malta
  - IIG Bank
  - Inicio
  - FISE
  - MEXC Exchange
  - Orco Bank
  - Provincia Casa Financiera
  - Raiffeisen-Gruppe
  - Republic Bank
  - RepublicOnline Corporate
  - Santander
  - Scotia Bank
  - Synchrony Bank
  - UBS E-Banking
- Stocks:
  - Fortex
- Cryptocurrency Wallet:
  - Armory
  - Atomic Wallet
  - Binance
  - Bisq
  - Bitbox
  - Bither
  - Blockstream
  - BTC-CORE
  - Coinomi
  - Daedalus
  - Electrum
  - Hotbit Global
  - Ledger
  - Monero
  - OPOLODesk
  - Trezor
  - Trust Wallet
  - WasabiWallet

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 18.768.05

初回 VSAPI パターンリリース日 2023年10月20日

VSAPI OPR パターンバージョン 18.769.00

VSAPI OPR パターンリリース日 2023年10月21日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.Win32.GRANDOREIRO.MLMA」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください