TrojanSpy.MSIL.REDENERGY.THJAOBD

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のレジストリ値を追加し、タスクマネージャを無効にします。これにより、通常はタスクマネージャを介して行うスパイウェアのプロセスの終了が実行できなくなります。

特定のファイル拡張子を持つファイルを暗号化します。 身代金要求文書のファイルを作成します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %User Temp%\{9 random alphanumeric}.jpg → desktop wallpaper after encryption
• %User Temp%\tmp{4 random alphanumeri}c.tmp.bat → terminates and deletes executed malware after encryption routine; deleted afterwards

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

スパイウェアは、以下のプロセスを追加します。

• vssadmin delete shadows /all /quiet & wmic shadowcopy delete
• bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no
• wbadmin delete catalog -quiet
• chcp 65001
• taskkill /F /IM {pid of malware}
• timeout /T 10 /Nobreak
• Del /a /f / q {malware full path}
• Del /a /f / q {malware execution path}\DotNetZip.dll
• Del /a /f / q {malware execution path}\Newtonsoft.Json.dll

他のシステム変更

スパイウェアは、以下のレジストリ値を追加し、タスクマネージャを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

スパイウェアは、コンピュータのデスクトップの壁紙に以下の画像を設定します。

プロセスの終了

スパイウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• BackupExecAgentBrowser
• BackupExecDiveciMediaService
• BackupExecJobEngine
• BackupExecManagementService
• vss
• sql
• svc$
• memtas
• sophos
• veeam
• backup
• GxVss
• GxBlr
• GxFWD
• GxCVD
• GxCIMgr
• DefWatch
• ccEvtMgr
• SavRoam
• RTVscan
• QBFCService
• Intuit.QuickBooks.FCS
• YooBackup
• YooIT
• zhudongfangyu
• sophos
• stc_raw_agent
• VSNAPVSS
• QBCFMonitorService
• VeeamTransportSvc
• VeeamDeploymentService
• VeeamNFSSvc
• veeam
• PDVFSService
• BackupExecVSSProvider
• BackupExecAgentAccelerator
• BackupExecRPCService
• AcrSch2Svc
• AcronisAgent
• CASAD2DWebSvc
• CAARCUpdateSvc
• TeamViewer

情報漏えい

スパイウェアは、以下の情報を収集します。

• Username
• Hostname
• Battery Life
• Clipboard Data
• List of Installed Applications
• OS Version
• OS Product Key
• List of Installed AV Products

その他

スパイウェアは、以下を実行します。

• It sets its own file attributes to SYSTEM and HIDDEN.
• It can disable the task manager.
• It terminates and deletes itself after its encryption routine.
• It loads vaultcli.dll and calls its functions to retrieve all saved data from the following browsers:
  • Opera Software
  • Edge
  • Firefox
  • Internet explorer
• It steals information from the following VPN services:
  • NordVPN
  • OpenVPN
  • ProtonVPN
• It steals information from the following email clients:
  • DeskSoft
  • Foxmail
  • GetyMail2
  • Opera_Mail
  • Outlook
  • Pocomail
  • TrulyMail
  • yMail
  • yMail2
• It steals information from the following gaming platforms installed:
  • BattleNET
  • Steam
  • Uplay
• It steals information from the following password managers:
  • Enpass
  • KeePass
  • mSecure
  • NordPass
  • _Password
  • Wallets
• It steals information from the following file transfer tools:
  • AbleFTP14
  • BlazeFtp
  • Cyberduck
  • DeluxeFTP
  • Estsoft
  • Far
  • FTPBox
  • FTPGetter
  • FTP_Now
  • FTPShell
  • GetAutomize14
  • GetFileZilla
  • GoFTP
  • INSoftware
  • iterate_GmbH
  • JaSFtp14
  • NetDrive2
  • NexusFile
  • Odin_Secure_FTP_Expert
  • SftpNetDrive
  • Staff_FTP
  • UltraFXP
  • WS_FTP
• It steals information from the following messaging platforms:
  • Discord
  • GetPaltalk
  • QQ
  • SignalGetJSON
  • SignalGetSQL
  • Skype
  • Telegram
  • TOX
  • Viber
  • Vime
  • WickrMe
  • Wickr_Pro
  • Pidgin
• It steals information from the following system/file management tools:
  • ExpanDrive
  • GetTotalCommander
  • Ipswitch
  • SuperPutty
  • Syncovery
• It steals the following browser information:
  • Web Data
  • Login Data
  • Cookies
  • History
  • History
  • Web Data
  • Bookmarks
  • CreditCards.txt
  • Passwords.txt
  • Cookies.txt
  • History.txt
  • Downloads.txt
  • AutoFill.txt
  • Bookmarks.txt

ランサムウェアの不正活動

以下の拡張子を持つファイルを暗号化します：$$ DATA $$

• pdf
• rtf
• doc
• docx
• xls
• xlsx
• ppt
• pptx
• odt
• indd
• txt
• json
• torrent
• rdp
• vn
• contact
• dat
• db3
• db4
• kdb
• kdbx
• sql
• sqlite
• mdb
• dsk
• dbf
• walle
• vb
• c
• cs
• cpp
• asm
• sh
• py
• pyw
• html
• css
• php
• go
• js
• rb
• pl
• swift
• java
• kt
• kts
• ino
• mafil
• jpg
• jpeg
• png
• bm
• tar
• Z
• ace
• pea
• sfx
• AR

マルウェアは、ファイル名に以下の文字列を含むファイルの暗号化はしません。

• boot.ini
• bootfont.bin
• boot.ini
• iconcache.db
• ntuser.dat
• ntuser.dat.log
• ntuser.ini
• thumbs.db
• autorun.inf
• bootsect.bak
• bootmgfw.efi
• desktop.ini

マルウェアは、ファイルパスに以下の文字列を含むファイルの暗号化はしません。

• appdata\local
• appdata\locallow
• users\all users
• \ProgramData

マルウェアは、以下のフォルダ内で確認されたファイルの暗号化はしません。

• Program Files
• Program Files (x86)
• Windows
• $Recycle.Bin
• MSOCache
• Documents and Settings
• Intel
• PerfLogs
• Windows.old
• AMD
• NVIDIA
• ProgramData

マルウェアは、暗号化されたファイルのファイル名に以下の拡張子を追加します。

• {original filename}.{original extension}.{4 random alphanumeric}

マルウェアが作成する以下のファイルは、脅迫状です。

• {encrypted directory}\read_it.txt