TrojanSpy.Win64.CRYPTWOFOUR.THGAHBE

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

スパイウェアは、感染コンピュータ上の特定の情報を収集します。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Temp%\test.txt → Contains the results of arbitrary command execution.
• %Temp%\tmp.bat → This file is created when the command execution method is set to 1.

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

スパイウェアは、以下のプロセスを追加します。

• cmd /c %Temp%\tmp.bat → This process is created when the command execution method is set to 1.

(註：%Temp%フォルダは、一時的にファイルが保存されるフォルダで、いずれのオペレーティングシステム(OS)でも通常、 "C:\Windows\Temp" です。.)

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

• It executes arbitrary commands using the following method:
  • 1 → Batch file execution
  • Others → Direct Execution via Shell

ダウンロード活動

スパイウェアは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• https://www.{BLOCKED}apis.com/drive/v3/files/{file_id}

情報漏えい

スパイウェアは、感染コンピュータ上の以下の情報を収集します。

• Computer Name
• Username

その他

スパイウェアは、以下を実行します。

• It will only proceed to its malicious routine if it is ran as a service.
• Captures all keyboard input.
• Captures clipboard data text changes.
• It generates a unique file name for executing victim-based arbitrary commands:
  • {ComputerName}_{Username}_Test.txt
• It connects to the specified URL to upload the %Temp%\test.txt file:
  • https://www.{BLOCKED}apis.com/upload/drive/v3/files?uploadType=multipart
• After command execution, the system reconnects to the specified URL to remove the file associated with the victim:
  • https://www.{BLOCKED}apis.com/drive/v3/files/{file_id}
• It connects to the specified URL to search for the victim ID. This is done to retrieve the commands to be executed:
  • https://www.{BLOCKED}apis.com/drive/v3/files?q=name='{Computer Name}_{Username}_Test.txt'