TrojanSpy.Win32.STRELASTEALER.A

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のプロセスを追加します。

• %comspec% /c start rundll32.exe x.html, s & start x.html

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Derived from first five letters of Computer Name}{Remainder of Computer Name}

情報漏えい

スパイウェアは、以下のレジストリ値からＥメールアカウント情報を収集します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Office\16.0\Outlook\
Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676\
{8 Digit Value}}
IMAP Server = {Server/s}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Office\16.0\Outlook\
Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676\
IMAP Password
IMAP User = {User/s}

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Office\16.0\Outlook\
Profiles\Outlook\9375CFF0413111d3B88A00104B2A6676\
{8 Digit Value}
IMAP Password = {Password/s}

その他

スパイウェアは、以下を実行します。

• The ISO file contains the folowing to execute its payload:
  • Factura.lnk ← shortcut to execute x.html
  • x.html ← main payload
• It searches for the following files inside %AppData%\Thunderbird\Profiles\{FolderName} to steal email accounts and passwords:
  • logins.json ← accounts and passwords
  • key4.db ← password database
• It connects to certain IP addresses to send and receive information:
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.166
  
  However, as of this writing the said IP addresses are inaccessible.