TrojanSpy.MSIL.NEGASTEAL.DYSHPF

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %User Startup%\{malware name}.exe

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

スパイウェアは、以下のプロセスを追加します。

• "%System%\WindowsPowerShell\v1.0\powershell.exe" Add-MpPreference -ExclusionPath %User Startup%\{malware name}.exe" -Force
• timeout 4

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。)

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}in.com:443

情報漏えい

スパイウェアは、以下の情報を収集します。

• Processor Information
• UserName
• ComputerName
• OS Information
• CPU Information
• IP Address
• Amount of memory
• MAC Address
• Motherboard Information
• Credentials from:
  • 360 Browser
  • 7star Browser
  • Amigo
  • Apple Application
  • Becky!
  • BlackHawk
  • Brave
  • Cent
  • Chedot
  • Chrome Plus
  • Chromium
  • Citrio
  • ClawsMail
  • CocCoc
  • Comodo Dragon
  • Cool Novo
  • Coowon
  • CoreFTP
  • CyberFox
  • DynDNS
  • Elements
  • Epic Privacy
  • Eudora
  • Falkon
  • FileZilla
  • Firefox
  • FlashFXP
  • Flock
  • Foxmail
  • FTP Navigator
  • FTPCommander
  • FTPGetter
  • HTTP
  • IceCat
  • IceDragon
  • IMAP
  • IncrediMail
  • Internet Download Manager
  • Ipswitch
  • Iridium
  • jDownloader
  • K-Meleon
  • Kometa
  • Liebao
  • MailBird
  • Microsoft Edge
  • Microsoft Outlook
  • MySQL
  • NordVPN
  • Novo
  • OpenVPN
  • Opera Browser
  • Opera Mail
  • Orbitum
  • PaleMoon
  • Paltalk
  • Pidgin
  • Pocomail
  • POP3
  • Postbox
  • Psi/Psi+
  • QIP Surf
  • QQ Browser
  • RealVNC
  • RimArts
  • Safari
  • Sea Monkey
  • Sleipnir 6
  • SmartFTP
  • SMTP
  • Sputnik
  • sqlite
  • SRWare Iron
  • Tencent
  • The Bat!
  • Thunderbird
  • TigerVNC
  • TightVNC
  • Torch
  • Trillian
  • UCBrowser
  • uCozMedia
  • UltraVNC
  • Uran
  • Vitalwerks
  • Vivaldi
  • WaterFox
  • Web Credentials
  • Windows Credential Picker Protector
  • Windows Credentials
  • Windows Domain Certificate Credential
  • Windows Domain Password Credential
  • Windows Extended Credential
  • Windows Secure Note
  • Windows Web Password Credential
  • WinSCP
  • WinSCP 2
  • WinVNC
  • WS_FTP
  • Yandex