TrojanSpy.Win32.VIDAR.YXDFTZ

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %ProgramData%\freebl3.dll
• %ProgramData%\mozglue.dll
• %ProgramData%\msvcp140.dll
• %ProgramData%\nss3.dll
• %ProgramData%\softokn3.dll
• %ProgramData%\vcruntime140.dll

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

スパイウェアは、以下のプロセスを追加します。

• {Malware Path}\{Malware Name}
• %System%\cmd.exe /c timeout /t 6 & del /f /q "{Malware path}" & exit

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身の環境設定ファイルをダウンロードします。

• https://{BLOCKED}e:443/headlist
• https://{BLOCKED}ommunity.com/profiles/76561199235044780
• https://{BLOCKED}.{BLOCKED}.{BLOCKED}.250/153ce668f1e21829c936c2b11fa4d869
• https://{BLOCKED}.{BLOCKED}.{BLOCKED}.250/upload.zip

情報漏えい

スパイウェアは、以下の情報を収集します。

• Browser Data (e.g. Cookies,History,Autofills,Credentials,Credit Card):
  • Mozilla Firefox
  • Pale Moon
  • Opera
  • Opera Crypto Stable
  • Opera GX Stable
  • Opera Stable
  • Google Chrome
  • Chromium
  • Amigo
  • Torch
  • Vivaldi
  • Comodo Dragon
  • Epic Privacy Browser
  • CocCoc
  • Brave
  • Cent Browser
  • 7Star
  • TOR Browser
  • Chedot Browser
  • Microsoft Edge
  • Microsoft Edge Canary
  • Microsoft Edge Beta
  • Microsoft Edge Dev
  • 360 Browser
  • QQBrowser
  • CryptoTab Browser
  • Thunderbird
• Cryptocurrency Wallet Data:
  • Ethereum
  • Electrum
  • Exodus
  • ElectronCash
  • Multidoge
  • Jaxx Desktop Old
  • Jaxx Desktop
  • Atomic
  • Binance
  • Coinomi
  • Daedalus Mainnet
  • Blockstream Green
  • Wasabi Wallet
  • Bitcoin Core
  • Dogecoin
• Cryptocurrency Browser Extensions:
  • Tronium
  • Trust Wallet
  • Exodus Web3 Wallet
  • Braavos
  • Enkrypt
  • OKX Web3 Wallet
  • Sender
  • Hashpack
  • Eternl
  • GeroWallet
  • Pontem Wallet
  • Petra Wallet
  • Martian Wallet
  • Finnie
  • Leap Terra
  • Microsoft AutoFill
  • Bitwarden
  • KeePass Tusk
  • KeePassXC-Browser
• System Information:
  • Time and Date
  • Version
  • MachineID
  • GUID
  • HWID
  • Malware File Path
  • Work Directory
  • Product Name
  • OS Version and Architecture
  • Install date of OS
  • Antivirus Products
  • Computer Name
  • User Name
  • Dsiplay Resolution
  • Display Language
  • Keyboard Language
  • Local Time
  • Time Zone
• Hardware Information:
  • Processor
  • # of Core
  • # of Threads
  • RAM
  • Video Card
• Runnning Processes
• Installed Software
• Screenshot of current display
• Accounts:
  • Telegram
  • Steam
  • Discord

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.250

その他

スパイウェアは、以下を実行します。

• It terminates itself if any of the following computer name(s) are found in the affected system:
  • JohnDoe
  • HAL9TH
• Drops files in %ProgramData% directory with random names containing the stolen informations then deletes it after exfiltration

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )