TrojanSpy.Win32.NEGASTEAL.DYSHFX

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成し実行します。

• %User Temp%\whgovv.ze
• %User Temp%\niiprb.hb
• %User Temp%\cyazhw.exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}pertsconsultgh.co

情報漏えい

スパイウェアは、以下の情報を収集します。

• It gathers information from:
  • Current Time
  • Username
  • Computer Name
  • OS Version
  • CPU Architecture
  • Ram
  
  
  
  • Browsers
  • 7Star
  • Amigo
  • BlackHawk
  • Brave Browser
  • CentBrowser
  • Chedot
  • Chrome
  • Chromium
  • Citrio
  • Cốc Cốc Browser
  • Coowon
  • Cyberfox
  • Dragon
  • Elements Browser
  • Epic Privacy Browser
  • Falkon
  • Flock
  • Icecat
  • IceDragon
  • Iridium
  • K-Meleon
  • Kometa
  • Liebao
  • MapleStudio
  • Microsoft Edge
  • Mozilla Firefox
  • Opera Software
  • Orbitum
  • Pale Moon
  • QIP Surf
  • QQBrowser
  • Sleipnir
  • Sputnik
  • Torch
  • UCBrowser
  • Uran
  • Vivaldi
  • Waterfox
  • Yandex
  • Emails
  • Becky!
  • Claws-mail
  • eM Client
  • Eudora
  • Foxmail
  • Incredimail
  • Mailbird
  • Opera Mail
  • Outlook
  • Pocomail
  • Postbox
  • The Bat!
  • Thunderbird
  • FTPs
  • cftp
  • COREFTP
  • FileZilla
  • FlashFXP
  • FTP Commander
  • FTP Commander Deluxe
  • FTP Navigator
  • FTPGetter
  • SmartFTP
  • WinSCP
  • WS_FTP
  • VPNs
  • NordVPN
  • OpenVPN
  • Private Internet Access
  • VNCs
  • RealVNC
  • TightVNC
  • TigerVNC
  • UltraVNC
  • Instant Messaging Applications
  • Discord
  • Psi/Psi+
  • Trillian
  • Others
  • JDownloader 2.0
  • MySQL Workbench
  • Windows Credentials
  • Windows Vault

その他

スパイウェアは、以下を実行します。

• It sends gathered information via email having the following details:
  • From: {BLOCKED}@expertsconsultgh.co
    To: {BLOCKED}31@gmail.com
    Subject: PW_{BLOCKED}_764/{BLOCKEd}N7-X64
    Body:
    Time: 03/06/2023 13:07:01
    User Name: {BLOCKED}er_764
    Computer Name: {BLOCKED}N7-X64
    OSFullName: Microsoft Windows 7 Professional
    CPU: Intel(R) Core(TM) i5-7500 CPU @ 3.40GHz
    RAM: 1023.49 MB
    

    ---

    Host: https://{BLOCKED}le.com/signin/v2/challenge/pwd
    Username: {BLOCKED}atzowak@gmail.com
    Password: {BLOCKED}20
    Application: Chrome
    

    ---