TrojanSpy.Win32.VIDAR.D

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 スパイウェアは、他のマルウェアに作成され、コンピュータに侵入します。

スパイウェアは、実行後、自身を削除します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• Trojan.Win32.MULTDROPEX.A

インストール

スパイウェアは、以下のファイルを作成します。

• %ProgramData%\{Random characters}\{GUID}{Random characters}.zip (contains aggregated system information to be sent to C2)

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のフォルダを作成します。

• %ProgramData%\{Random characters} (contains stolen information)

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、実行後、自身を削除します。

情報漏えい

トロイの木馬化されたアプリケーションが実行されると、[Malware]は、以下の情報を収集します。

• Telegram session data
• Cryptocurrency wallet data
• Browser data (e.g. cookies, downloads, history, credentials, autofills, credit card data)
• Date executed
• Machine ID
• GUID
• HWID
• Working path
• Product name
• Computer name
• User name
• Resolution
• Operating system information
• Keyboard layout
• Datetime executed
• RAM information
• Processor information
• Video card information
• Running processes
• Screenshot

その他

スパイウェアは、以下を実行します。

• It connects to the following URL to resolve its configuration:
  • https://prophefliloc.{BLOCKED}r.com/
  As of this moment, it received the following URL it will use to send its stolen information: {BLOCKED}.{BLOCKED}.2.239
• It downloads the following normal files in %ProgramData% upon resolving its configuration:
  • freebl3.dll
  • mozglue.dll
  • msvcp140.dll
  • nss3.dll
  • softokn3.dll
  • vcruntime140.dll
  • msvcp140.dll

スパイウェアは、以下のいずれかのコンピュータ名が感染コンピュータで確認される場合、自身を終了します。

• JohnDoe
• HAL9TH