TrojanSpy.Win32.LUMMAC.NLJ

2024年4月8日

解析者: Neljorn Nathaniel Aguas

別名:

Trojan:Win32/LummaStealer.SX!MTB (MICROSOFT)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: スパイウェア/情報窃取型
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

感染経路他のマルウェアからの作成, インターネットからのダウンロード

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

詳細

ファイルサイズ 327,168 bytes

タイプ EXE

メモリ常駐なし

発見日 2024年3月29日

ペイロード URLまたはIPアドレスに接続, 情報収集, システム情報の収集

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

スパイウェアは、ルートキット機能を備えていません。

情報漏えい

スパイウェアは、以下の情報を収集します。

System Information:
- Malware's ID
- Malware's Complete Filename
- Malware's Execution Date and Time
- OS Information
- OS Installation Date
- Hardware ID
- RAM Information
- CPU Information
- GPU Information
- System Language
- Time Zone
- Username
- Computer Name
- Hostname
- Domain Name
- NetBIOS Domain Name
- Programs Installed
- Antivirus Installed
- Screen Resolution
- Clipboard Data
Wallet Browser Extensions:
- Agrent X
  - dlcobpjiigpikoobohmabehhmhfoodbb
- Auro
  - cnmamaachppnkjgnildpdmkaakejnhae
- Backpack
  - aflkmfhebedbjioipglgcbcmnbpgliof
- Binance Chain Wallet
  - fhbohimaelbohpjbbldcngcnapndodjp
- BinanceWallet
  - fhbohimaelbohpjbbldcngcnapndodjp
- BitApp
  - fihkakfobkmkjojpchpfgcmhfjnmnfpi
- BitClip
  - ijmpgkjfkbfhoebgogflfebnmejmfbm
- Braavos
  - jnlgamecbpmbajjfhmmmlhejkemejdma
- Byone
  - nlgbhdfgdhgbiamfdfmbikcdghidoadd
- Clover
  - nhnkbkgjikgcigadomkphalanndcapjk
- Coin98
  - aeachknmefphepccionboohckonoeemg
- Coinbase
  - hnfanknocfeofbddgcijnmhnfnkdnaad
- Coinhub
  - jgaaimajipbpdogpdglhaphldakikgef
- Compas Wallet
  - anokgmphncpekkhclmingpimjmcooifb
- CryptoCom
  - hifafgmccdpekplomjjkcfgodnhcellj
- Cyano
  - dkdedlpgdmmkkfjabffeganieamfklkm
- DAppPlay
  - lodccjjbdhfakaekdiahmedfbieldgik
- EnKrypt
  - kkpllkodjeloidieedojogacfhpaihoh
- EQUA
  - blnieiiffboillknjnepogjhkgnoapac
- ExodusWeb3
  - aholpfdialjgjfhomihkjbmgjidlcdno
- Fluvi Wallet
  - mmmjbcfofconkannjonfmjjajpllddbg
- Frontier Wallet
  - kppfdiipphfccemcignhifpjkapfbihd
- Glass Wallet
  - loinekcabhlmhjjbocijdoimmejangoa
- Guarda
  - hpglfhgfnhbgpjdenjgmdgoeiappafln
- Guild
  - nanjmdknhkinifnkgdcggcfnhdaammmj
- Havah Wallet
  - cnncmdhjacpkmjmkcafchppbnpnhdmon
- Hycon Lite Client
  - bcopgchhojmggmffilplmbdicgaihlkp
- ICONex
  - flpiciilemghbmfalicajoolhkkenfe
- iWlt
  - kncchdigobghenbbaddojjnnaogfppfj
- Jaxx Liberty
  - cjelfplplebdjjenllpjcblmjkfcffne
- Keplr
  - dmkamcknogkgcdfhhbddcghachkejeap
- KHC
  - hcflpincpppdclinealmandijcmnkbgn
- Leaf
  - cihmoadaighcejopammfbmddcmdekcje
- Leap Wallet
  - fcfcfllfndlomdhbehjjcoimbgofdncg
- Liquality
  - kpfopkelmapcoipemfendmdcghnegimn
- Magic Eden
  - mkpegjkblkkefacfnmkajcjmabijhclg
- Martian
  - efbglgofoippbgcjepnhiblaibcnclgk
- Math
  - afbcbjpbpfadlkmhmclhkeeodmamcflc
- MetaMask
  - ejbalbakoplchlghecdalmeeeajnimhm
  - nkbihfbeogaeaoehlefnkodbefgpgknn
- MEW CX
  - nlbmnnijcnlegkjjpcfjclmcfggfefdm
- MewCX
  - nlbmnnijcnlegkjjpcfjclmcfggfefdm
- Morphis Wallet
  - heefohaffomkkkphnlpohglngmbcclhi
- MultiversX Wallet
  - dngmlblcodfobpdpecaadgfbcggfjfnm
- Nabox
  - nknhiehlklippafakaeklbeglecifhad
- Nami
  - lpfcbjknijpeeillifnkikgncikgfhdo
- Nash Extension
  - onofpnbbkehpmmoabgpcpmigafmmnjh
- NeoLine
  - cphhlgmgameodnhkjdmkpanlelnlohao
- Nifty
  - jbdaocneiiinmjbjlgalhcelgbejmnid
- OKX
  - mcohilncbfahbmgdjkbpemcciiolgcge
- OneKey
  - infeboajgfhgbjpjbeppbkgnabfdkdaf
- Petra
  - ejjladinnckdgjemekebdpeokbikhfci
- Phantom
  - bfnaelmomeimhlpmgjnjophhpkkoljpa
- PolkadotJS
  - mopnmbcafieddcagagdcbnhejhlodfdd
- Polymesh
  - jojhfeoedkpkglbfimdfabpdfjaoolaf
- Pontem
  - phkbamefinggmakgklpkljjmgibohnba
- Rabby
  - acmacodkjbdgmoleebolmdjonilkdbch
- Ronin Wallet
  - fnjhmkhhmkbjkkabndcnnogagogbneec
- Safepal
  - lgmpcpglpngdoalbgeoldeajfclnhafa
- Saturn
  - nkddgncdjgjfcddamfgcmfnlhccnimig
- Solflare
  - bhhhlbepdkbapadjdnnojkbgioiodbic
- Sollet
  - fhmfendgdocmcbmfikdcogofphimnkno
- Steem Keychain
  - lkcjlnjfpbikmcmbachjpdbijejflpcm
- Sub
  - onhogfjeacnfoofkfgppdlbmlmnplgbn
- Sui Wallet
  - ocjdpmoallmgmjbbogfiiaofphbjgchh
- Sui
  - opcgpfmipidbgpenhmajoajpbobppdil
- Talisman
  - fijngjgcjhjmmpcmkeiomlglpeiijkld
- Temple
  - ookjlbkiijinhpmnjffcofjonbfbgaoc
- Terra Station
  - aiifbnbfobpmeekipheeijimdpnlpgpp
- TezBox
  - mnfifefkajgofkcjkemidiaecocnkjeh
- TronLink
  - ibnejdfjmmkpcnlpebklmnkoeoihofec
- Trust Wallet
  - egjidjbpglichdcondbcbdnbeeppgdph
- UniSat
  - ppbibelpcjmhbdihakflkdcoccbgbkpo
- Venom Wallet
  - ojggmchlghnjlapmfbnjholfjkiidbch
- Wombat
  - amkmjjmmflddogmhpjloimipbofnfjih
- XVerse Wallet
  - idnnbdplmphpflfnlkomgpfbpcgelopg
- Yoroi
  - ffnbelfdoeiohenkjibnmadjiehjhajb
- ZilPay
  - klnaejjgbibmhlephnhpmaofohgkpgkd
Authenticator Browser Extensions:
- Authenticator
  - bhghoamapcdpbohphigoooaddinpkbai
- Authy
  - gaedmjdfmmahhbjefcbgaolhhanlaolb
- EOS Authenticator
  - oeljdldpnmdbchonielidgobddfffla
- GAuth Authenticator
  - ilgcnhelpchnceeipipijaljkblbcob
Password Manager Browser Extensions:
- Bitwarden
  - nngceckbapebfimnlniiiahkandclblb
- Trezor Password Manager
  - imloifkgjagghnncjkhggdhalmcnfklk
Wallet Data Stored Locally:
- Atomic
  - %Application Data%\atomic\Local Storage\leveldb
    - All files
- Binance
  - %Application Data%\Binance
    - app-store.json
    - .finger-print.fp
    - simple-storage.json
    - window-state.json
- Bitcoin
  - %Application Data%\Bitcoin\wallets
    - All files
- Coinomi
  - %AppDataLocal%\Coinomi\Coinomi\wallets
    - All files
- Electrum
  - %Application Data%\Electrum\wallets
    - All files
- Ethereum
  - %Application Data%\Ethereum
    - keystore
- Exodus
  - %Application Data%\Exodus\exodus.wallet
    - All files
- Jaxx Liberty
  - %Application Data%\com.liberty.jaxx\IndexedDB
    - *.leveldb
- Ledger Live
  - %Application Data%\Ledger Live
    - All files
Application Data Stored Locally:
- AnyDesk
  - %Application Data%\AnyDesk
    - *.conf
- Authy Desktop
  - %Application Data%\Authy Desktop\Local Storage\leveldb
    - All files
- FileZilla
  - %Application Data%\FileZilla
    - recentservers.xml
    - sitemanager.xml
- KeePass
  - %User Profile%
    - *.kbdx
- Telegram
  - %Application Data%\Telegram Desktop
    - *s
  - C:\Program Files\Telegram Desktop
    - *s
  - C:\Program Files (x86)\Telegram Desktop
    - *s
Browser User Data:
- 360 Browser
  - %AppDataLocal%\360Browser\Browser\User Data
- Brave
  - %AppDataLocal%\BraveSoftware\Brave-Browser\User Data
- Chrome Beta
  - %AppDataLocal%\Google\Chrome Beta\User Data
- Chrome
  - %AppDataLocal%\Google\Chrome\User Data
- Coc Coc
  - %AppDataLocal%\CocCoc\Browser\User Data
- Edge
  - %AppDataLocal%\Microsoft\Edge\User Data
- Epic Privacy Browser
  - %AppDataLocal%\Epic Privacy Browser\User Data
- Mozilla Firefox
  - %Application Data%\Mozilla\Firefox\Profiles
- Opera GX Stable
  - %Application Data%\Opera Software\Opera GX Stable
- Opera Neon
  - %AppDataLocal%\Opera Software\Opera Neon\User Data
- Opera
  - %Application Data%\Opera Software\Opera Stable
- Vivaldi
  - %AppDataLocal%\Vivaldi\User Data
Email Client Data:
- The Bat!
  - %Application Data%\The Bat!*.ABD
    *.EML
    *.FLX
    *.HBI
    *.mbox
    *.MSB
    *.MSG
    *.TBB
    *.TBK
    *.TBN
    *.txt
- Pegasus Mail
  - C:\PMAIL
    *.CNM
    *.PM
    *.PMF
    *.PML
    *.PMN
    *.USR
    *.WPM
    *CACHE.PM
- Mailbird
  - %AppDataLocal%\Mailbird\Store
    *.db
- eM Client
  - %Application Data%\eM Client
    *.dat
    *.dat-shm
    *.dat-wal
    *.eml
Text Files:
- %User Profile%*bitcoin*.txt
  *ledger*.txt
  *metamask*.txt
  *pass*.txt
  *seed*.txt
  *trezor*.txt
  *wallet*.txt
  *words*
- %User Profile%\Desktop
  *.txt
  *.pdf

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

情報収集

スパイウェアは、HTTPポストを介して、収集した情報を以下のURLに送信します。

https://{BLOCKED}kywo.shop/api

その他

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

https://{BLOCKED}kywo.shop

スパイウェアは、以下を実行します。

It compiles and compresses the stolen information in memory before sending it to the C&C server.

スパイウェアは、脆弱性を利用した感染活動を行いません。

<補足>
情報漏えい

スパイウェアは、以下の情報を収集します。

システム情報：
- マルウェアID
- マルウェアの完全なファイル名
- マルウェアの実行日時
- オペレーティングシステム（OS）に関する情報
- OSのインストール日
- ハードウェアID
- RAM情報
- CPU情報
- GPU 情報
- システム言語
- タイムゾーン
- ユーザ名
- コンピュータ名
- ホスト名
- ドメイン名
- NetBIOSドメイン名
- インストールされているプログラム
- インストールされているウイルス対策製品
- 画面の解像度
- クリップボードのデータ

その他

スパイウェアは、収集した情報をメモリ内で変換（コンパイル）/圧縮してから、C&Cサーバに送信します。

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 19.247.00

初回 VSAPI パターンリリース日 2024年3月29日

VSAPI OPR パターンバージョン 19.247.00

VSAPI OPR パターンリリース日 2024年3月30日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

TROJ.Win32.TRX.XXPE50FFF079

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.Win32.LUMMAC.NLJ」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください