Trend Micro Security

TrojanSpy.Win64.RHADAMANTHYS.YXDAW

2023年2月7日
 解析者: Jeffrey Francis Bonaobra   
 別名:

UDS:Trojan.Win32.Khalesi.mhty (KASPERSKY)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: スパイウェア/情報窃取型
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要

感染経路 他のマルウェアからの作成, インターネットからのダウンロード

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

  詳細

ファイルサイズ 153,088 bytes
タイプ EXE
メモリ常駐 なし
発見日 2023年1月23日
ペイロード URLまたはIPアドレスに接続, 情報収集, ファイルの作成, ファイルのダウンロード

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

  • If user account is SYSTEM:
    • %Application Data%\nsis_uns{random characters}.dll → used to load the stealer payload
  • If user account is not SYSTEM:
    • %User Temp%\nsis_uns{random characters}.dll → used to load the stealer payload

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスを追加します。

  • If the relative identifier is greater than or equal to 2000:
    • {Malware file path}\{Malware file name} --fast
  • If user account is SYSTEM:
    • %System%\rundll32.exe %Application Data%\nsis_uns{random characters}.dll, PrintUIEntry {encoded parameters}
  • if user account is not SYSTEM:
    • %System%\rundll32.exe %User Temp%\nsis_uns{random characters}.dll, PrintUIEntry {encoded parameters}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • MSCTF.Asm.{00000009-4fb3f26-9d18-66b568-627b8a85e4b6}

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

  • http://{BLOCKED}.{BLOCKED}.18.132/blob/q3k6tk.xi8o

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

スパイウェアは、以下の情報を収集します。

  • Default Language
  • Locale
  • Gathers information from:
    • Browsers:
      • Coc CoC
      • Pale Moon
      • Sleipnir5
      • Opera
      • Chrome
      • Twinkstar
      • Firefox
      • Edge
      • K-Meleon
    • FTP Clients:
      • FileZilla
      • CoreFTP
      • WinSCP
    • VPN:
      • OpenVPN
    • Messaging Applications:
      • Telegram
    • Email Applications:
      • Thunderbird
      • Foxmail
      • Outlook
      • The BAT
    • Password Manager:
      • KeePass
    • Others:
      • Discord
      • Steam
      • Stickynotes
      • Simple Sticky Notes
    • Wallets:
      • Ronin
      • MetaMask
      • Vigvam
      • OKEx Wallet
      • Keplr
      • Avana Wallet
      • Ethereum
      • Electrum
      • Dogecoin
      • Litecoin
      • Monero
      • Qtum
      • Armory
      • Bytecoin
      • Binance
      • Electron
      • Solar Wallet
      • Zap
      • WalletWasabi
      • Zcash
  • Browser Extensions:
    • Autofill data
    • Browser data (login information, cookies) relating to the following wallets:
      • MyTonWallet
      • Exodus Wallet
      • Trust Wallet
      • ZilPay Wallet
      • MetaMask
      • Bitcoin
      • Flint Wallet
      • X-Wallet
      • Stargazer Wallet
      • Theta Wallet
      • BitKeep
      • PaliWallet
      • TON Wallet
      • KardiaChain Wallet
      • Fractal Wallet
      • ArConnect
      • Swash
      • Nash
      • XDEFI Wallet
      • BitClip
      • DAppPlay
      • LeafWallet
      • OneKey
      • Byone
      • Cyano Wallet
      • TexBox - Tezos Wallet
      • Temple - Tezos Wallet
      • KHC
      • Nabox Wallet
      • ICONex
      • Polymesh Wallet
      • Auro Wallet
      • Keplr
      • Clover Wallet
      • NeoLine
      • Saturn Wallet
      • MEW CX
      • iWallet
      • Oasis Wallet
      • Goby
      • StarMask
      • Eternl
      • Wombat
      • Hycon Lite Client
      • Crypto.com
      • Keeper Wallet
      • Terra Station Wallet
      • SteemKeychain
      • Jaxx Liberty
      • ZilPay
      • Yoroi Wallet
      • Ronin Wallet
      • Rabet
      • Auvitas Wallet
      • Liquality Wallet
      • Nifty Wallet
      • Oxygen - Atomic Crypto Wallet
      • Crocobit Wallet
      • Finnie
      • Slope Wallet
      • XDCPay
      • Solflare Wallet
      • Sollet
      • GuildWallet
      • Guarda
      • BitApp Wallet
      • Math Wallet
      • OKEx Wallet
      • EQUAL Wallet
      • MOBOX WALLET
      • Phantom
      • Coinbase Wallet
      • TronLink
      • MetaMask
      • Binance Wallet
      • Coin98 Wallet
    • Saved credit cards
    • Login information
    • Browser cookies
    • Browsing history
    • Bookmarks
    • Download history

その他

スパイウェアは、以下を実行します。

  • It disables the display of error message box.
  • It checks for suspicious code hooks in the system.
  • It manipulates exception handling.
  • It checks if the following mutexes are present:
    • Global\MSCTF.Asm.{04fb3f26-9d18-66b568-627b8a85e4b620}
    • Session\{1-8}\MSCTF.Asm.{04fb3f26-9d18-66b568-627b8a85e4b620}
  • It terminates itself if any of the following are satisfied:
    • If the file name of the executed binary matches any the following:
      • sample.exe
      • bot.exe
      • sandbox.exe
      • malware.exe
      • text.exe
      • klavme.exe
      • myapp.exe
      • testapp.exe
    • If the length of the file name is equal to the following:
      • 32 → length of MD5 hash
      • 40 → length of SHA1 hash
      • 64 → length of SHA256 hash
    • If the host name matches any of the following:
      • SANDBOX
      • 7SILVIA
      • HANSPETER-PC
      • JOHN-PC
      • MUELLER-PC
      • WIN7-TRAPS
      • FORTINET
      • TEQUILABOOMBOOM
    • If the user name matches any of the following:
      • CurrentUser
      • Sandbox
      • Emily
      • HAPUBWS
      • Hong Lee
      • IT-ADMIN
      • Johnson
      • Miller
      • milozs
      • Peter Wilson
      • timmy
      • user
      • sand box
      • malware
      • maltest
      • test user
      • virus
      • John Doe
    • If the user name is Wilber and computer name starts with SC or SW.
    • If the user name is admin and the computer name is SystemIT.
    • If the user name is admin and the computer name is KLONE_X64-PC.
    • If the user name is John and the following files are present:
      • C:\take_screenshot.exe
      • C:\loaddll.exe
    • If all of the following files are present:
      • C:\email.doc
      • C:\email.htm
      • C:\123\email.doc
      • C:\123\email.docx
    • If all of the following files are present:
      • C:\a\foobar.bmp
      • C:\a\foobar.doc
      • C:\a\foobar.gif
    • If the vendor ID matches any of the following:
      • KVMKVMKVM
      • Microsoft Hv
      • VMwareVMware
      • XenVMMXenVMM
      • prl hyperv
      • Parallels Hv
      • VBoxVBoxVBox
    • If known sandbox IDs are present in the following registry keys:
      • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControLSet\Enum\IDE
      • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControLSet\Enum\SCSI
        where the sandbox IDs could be any of the following:
        • qemu
        • virtio
        • vmware
        • vbox
        • xen
        • VMW
        • Virtual
    • If it finds the following virtual devices in the affected system:
      • \.\VBoxMiniRdrDN
      • \.\VBoxGuest
      • \.\VBoxTrayIPC
      • \.\pipe\VBoxMiniRdDN
      • \.\pipe\VBoxTrayIPC
    • If the following strings are found on windows or classes:
      • VBoxTrayToolWndClass
      • VBoxTrayToolWnd
    • If the following strings are found on the system information:
      • VirtualBox
      • vbox
      • VBOX
      • VMware
      • VMWARE
      • QEMU
      • qemu
      • BOCHS
      • BXPC
    • If it finds the following virtual machine/sandbox network shares in the affected system:
      • VirtualBox Shared Folders
    • If it finds the following virtual machine/sandbox file artifacts in the affected system:
      • %System%\drivers\VBoxMouse.sys
      • %System%\drivers\VBoxGuest.sys
      • %System%\drivers\VBoxSF.sys
      • %System%\drivers\VBoxVideo.sys
      • %System%\vboxdisp.dll
      • %System%\vboxhook.dll
      • %System%\vboxmrxnp.dll
      • %System%\vboxogl.dll
      • %System%\vboxoglarrayspu.dll
      • %System%\vboxoglcrutil.dll
      • %System%\vboxoglerrorspu.dll
      • %System%\vboxoglfeedbackspu.dll
      • %System%\vboxoglpackspu.dll
      • %System%\vboxoglpassthroughspu.dll
      • %System%\vboxservice.exe
      • %System%\vboxtray.exe
      • %System%\VBoxControl.exe
      • %System%\drivers\balloon.sys
      • %System%\drivers\netkvm.sys
      • %System%\drivers\pvpanic.sys
      • %System%\drivers\viofs.sys
      • %System%\drivers\viogpudo.sys
      • %System%\drivers\vioinput.sys
      • %System%\drivers\viorng.sys
      • %System%\drivers\vioscsi.sys
      • %System%\drivers\vioser.sys
      • %System%\drivers\viostor.sys
    • if it finds the following virtual machine/sandbox directory artifacts in the affected system:
      • %Program Files%\Virtio-Win\
      • %Program Files%\qemu-ga
      • %Program Files%\SPICE Guest Tools
    • if it finds the following virtual machine/sandbox processes in the affected system's memory:
      • vboxservice.exe
      • vboxtray.exe
      • vmtoolsd.exe
      • vmwaretray.exe
      • vmwareuser.exe
      • VGAuthService.exe
      • vmacthlp.exe
      • qemu-ga.exe
      • vdagent.exe
      • vdservice.exe
    • If the following strings are found in the Win32_ComputerSystem manufacturer:
      • VMware
      • Xen
      • innotek GmbH
      • QEMU
    • If the following strings are found in the Win32_ComputerSystem model:
      • VirtualBox
      • HVM domU
      • VMware
    • If the following strings are found in the Win32_BIOS serial number:
      • VMWare
      • Parallels
      • XenVirtual
      • A M I
    • If the following strings are found in the Disk Device Driver hardware ID:
      • vbox
      • vmware
      • qemu
      • virtual
    • If the following strings are found in the Win32_PnPEntity device ID:
      • PCI\VEN_80EE&DEV_CAFE
    • If the following strings are found in the Win32_PnPEntity name:
      • 82801FB
      • 82441FX
      • 82371SB
      • OpenHCD
    • If the following strings are found in the Win32_PnPDevice Name and Caption:
      • VBOX
    • If the following strings are found in the Win32_PnPDevice PNPDeviceID:
      • VEN_VBOX
    • If the following strings are found in the Win32_Bus name:
      • ACPIBus_BUS_0
      • PCI_BUS_0
      • PNP_BUS_0
    • If the following strings are found in the Win32_BaseBoard product:
      • VirtualBox
    • If the following strings are found in the Win32_BaseBoard manufacturer:
      • Oracle Corporation
    • If the following strings are found in the Win32_NTEventlogFile FileName and Sources:
      • vboxvideo
      • VBoxVideoW8
      • VBoxWddm
  • It checks if process is running in a 64 bit environment:
    • If yes,
      • It searches and manipulates the following module:
        • aswhook.dll
      • If not found:
        • It searches and manipulates files with the following strings in their file name:
          • 360SelfProtection
          • BdDci
          • rtp_process_monitor
          • klkbdflt

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

マルウェアは、以下の仮想環境やサンドボックスに関連したモジュールが感染コンピュータ内に存在していないかを確認します。

  • avghookx.dll
  • avghooka.dll
  • snxhk.dll
  • sbiedll.dll
  • dbghelp.dll
  • api_log.dll
  • dir_watch.dll
  • pstorec.dll
  • vmcheck.dll
  • wpespy.dll
  • cmdvrt64.dll
  • cmdvrt32.dll

マルウェアは、以下の仮想環境やサンドボックスに関連したレジストリキーが感染コンピュータ内に存在していないかを確認します。

HKEY_LOCAL_MACHINE\HARDWARE\ACPI\
DSDT\VBOX__

HKEY_LOCAL_MACHINE\HARDWARE\ACPI\
FADT\VBOX__

HKEY_LOCAL_MACHINE\HARDWARE\ACPI\
RSDT\VBOX__

HKEY_LOCAL_MACHINE\SOFTWARE\Oracle\
VirtualBox Guest Additions

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\VBoxGuest

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\VBoxMouse

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\VBoxService

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\VBoxSF

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\VBoxVideo

HKEY_LOCAL_MACHINE\SOFTWARE\VMware, Inc.\
VMware Tools

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\vioscsi

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\viostor

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\VirtIO-FS Service

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\VirtioSerial

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\BALLOON

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\BalloonService

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Services\netkvm

マルウェアは、以下の仮想環境やサンドボックスに関連したレジストリ値が感染コンピュータ内に存在していないかを確認します。

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 0\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = VBOX

HKEY_LOCAL_MACHINE\HARDWARE\Description\
System
SystemBiosVersion = VBOX

HKEY_LOCAL_MACHINE\HARDWARE\Description\
System
VideoBiosVersion = VIRTUALBOX

HKEY_LOCAL_MACHINE\HARDWARE\Description\
System
SystemBiosDate = 06/23/99

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 0\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = VMWARE

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 1\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = VMWARE

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 2\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifier = VMWARE

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SystemInformation
SystemProductName = VMWARE

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SystemInformation
SystemManufacturer = VMWARE

HKEY_LOCAL_MACHINE\HARDWARE\DEVICEMAP\
Scsi\Scsi Port 0\Scsi Bus 0\
Target Id 0\Logical Unit Id 0
Identifie = QEMU

HKEY_LOCAL_MACHINE\HARDWARE\Description\
System
SystemBiosVersion = QEMU

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 18.242.04
初回 VSAPI パターンリリース日 2023年2月7日
VSAPI OPR パターンバージョン 18.243.00
VSAPI OPR パターンリリース日 2023年2月8日

手順 1

トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。

     
    • Troj.Win32.TRX.XXPE50FFF064

手順 2

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 3

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • %Application Data%\nsis_uns{random characters}.dll
  • %User Temp%\nsis_uns{random characters}.dll

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.Win64.RHADAMANTHYS.YXDAW」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください