TrojanSpy.BAT.VIPKEYLOGGER.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %User Profile%\aoc.bat

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

スパイウェアは、ルートキット機能を備えていません。

プロセスの終了

スパイウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• chrome
• firefox
• msedge
• brave
• Foxmail

情報漏えい

スパイウェアは、以下の情報を収集します。

• Public IP Address
• Geolocation
• Hostname
• Username
• Current Date and Time
• Email Address
• Email Password
• Cookies
• Credit Card Information
• Autofill Passwords
• Browser History
• Browser Downloads
• Clipboard Data
• Keystrokes

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://v{BLOCKED}.com:8081
• http://a{BLOCKED}s.org:8081
• http://an{BLOCKED}my:8081
• https://api.t{BLOCKED}t/sendMessage?chat_id={chat id}&text={stolen information}

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://c{BLOCKED}.org/

スパイウェアは、以下を実行します。

• It patches the Antimalware Scan Interface (AMSI) to disable security features of the affected system.
• It patches Event Tracing for Windows (ETW) to disable event logging of the affected system.
• It loads the following file in the memory:
  • Aubriella.exe → VIPKeylogger Payload
• It connects to the following URL to get the affected system's geolocation:
  • https://r{BLOCKED}.org/xml/{public ip address of system}
• It steals information from the following web browsers:
  • Google Chrome
  • CocCoc
  • Tencent QQ Browser
  • Orbitum
  • Amigo
  • Xpom
  • Kometa
  • Nichrome
  • Slimjet
  • Iridium
  • Vivaldi
  • Chromium
  • GhostBrowser
  • CentBrowser
  • Xvast
  • Chedot
  • SuperBird
  • 360Browser
  • 360Chrome
  • Comodo
  • Brave
  • Torch Browser
  • UCBrowser
  • Blisk
  • Epic Privacy Browser
  • AVAST Software
  • Kinza
  • BlackHawk
  • Citrio
  • Uran
  • Coowon
  • 7Star
  • QIP Surf
  • ChromePlus
  • Sputnik
  • Microsoft Edge
  • Opera
  • Liebao7
  • SlimBrowser
  • Mozilla Firefox
  • Mozilla SeaMonkey
• It steals information from the following email applications:
  • Outlook
  • Foxmail
  • Thunderbird
  • PostBoxApp
• It checks if the gathered information contains the following strings:
  • 8{BLOCKED}0
  • 6{BLOCKED}9
  • 1{BLOCKED}1
  • 6{BLOCKED}9
  • 3.{BLOCKED}7
  • WALKER

スパイウェアは、脆弱性を利用した感染活動を行いません。

<補足>

情報漏えい

スパイウェアは、以下の情報を収集します。

• パブリックIPアドレス
• 地理的な位置情報
• ホスト名
• ユーザ名
• 現在の日付と時刻
• 電子メールアドレス
• 電子メールアドレスのパスワード
• クッキー
• クレジットカードに係る情報
• 自動入力されるパスワード
• ブラウザ履歴
• ブラウザのダウンロード履歴
• クリップボードのデータ
• キー入力操作情報

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://v{BLOCKED}.com:8081
• http://a{BLOCKED}s.org:8081
• http://an{BLOCKED}my:8081
• https://api.t{BLOCKED}t/sendMessage?chat_id={チャットID}&text={収集された情報}

その他

スパイウェアは、以下を実行します。

• マルウェア対策スキャンインターフェース（AMSI）にパッチを当てて、感染コンピュータのセキュリティ機能を無効化します。
• Event Tracing for Windows（ETW）にパッチを当てて、感染コンピュータのイベントログ記録を無効化します。
• 感染コンピュータのメモリ内に以下のファイルを読み込みます。
  • Aubriella.exe → VIPKeyloggerのペイロード
• 以下のURLに接続して、感染コンピュータの地理的な位置情報を収集します。
  • https://r{BLOCKED}.org/xml/{コンピュータのパブリックIPアドレス}
• 以下の Webブラウザから情報を収集します。
  • Google Chrome
  • CocCoc
  • Tencent QQ Browser
  • Orbitum
  • Amigo
  • Xpom
  • Kometa
  • Nichrome
  • Slimjet
  • Iridium
  • Vivaldi
  • Chromium
  • GhostBrowser
  • CentBrowser
  • Xvast
  • Chedot
  • SuperBird
  • 360Browser
  • 360Chrome
  • Comodo
  • Brave
  • Torch Browser
  • UCBrowser
  • Blisk
  • Epic Privacy Browser
  • AVAST Software
  • Kinza
  • BlackHawk
  • Citrio
  • Uran
  • Coowon
  • 7Star
  • QIP Surf
  • ChromePlus
  • Sputnik
  • Microsoft Edge
  • Opera
  • Liebao7
  • SlimBrowser
  • Mozilla Firefox
  • Mozilla SeaMonkey
• 以下の電子メールアプリケーションから情報を収集します。
  • Outlook
  • Foxmail
  • Thunderbird
  • PostBoxApp
• 収集された情報に以下の文字列が含まれているかどうかを確認します。
  • 8{BLOCKED}0
  • 6{BLOCKED}9
  • 1{BLOCKED}1
  • 6{BLOCKED}9
  • 3.{BLOCKED}7
  • WALKER