TrojanSpy.Win64.LUMMAC.B.go

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下のファイルを作成します。

• %Public%\Libraries\{random}.scif → original content of BitLockerToGo.exe
• %Public%\Libraries\{random}.scif → malicious executable code of LUMMAC, deleted afterwards

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}acutwo.shop
• {BLOCKED}gowp.shop
• {BLOCKED}wko.shop
• {BLOCKED}nykwo.shop
• {BLOCKED}orsedpo.shop
• {BLOCKED}onnopp.shop
• {BLOCKED}rsdo.shop
• {BLOCKED}itttyps.shop
• {BLOCKED}llppwo.shop
• {BLOCKED}ommunity.com

その他

スパイウェアは、以下を実行します。

• It copies the original content of the legitimate file BitLockerToGo.exe to %Public%\Libraries\{random}.scif.
• It injects its malicious executable code in the legitimate file BitLockerToGo.exe.
• It steals information from the following:
  • Cryptocurrency:
    • Electrum
    • Ethereum
    • Exodus
    • Ledger Live
    • Atomic
    • Coinomi
    • Authy Desktop
    • Bitcoin
    • Binance
  • FTP and Remote Desktop Clients:
    • AnyDesk
    • FileZilla
  • Messaging Applications:
    • Telegram
  • Web Browsers:
    • Brave
    • Epic Privacy
    • Vivaldi
    • 360 Browser
    • CocCoc
  • Email Client:
    • PMAIL
    • Mailbird
    • eM Client
  • Filenames:
    • seed.txt
    • pass.txt
    • ledger.txt
    • trezor.txt
    • metamask.txt
    • bitcoin.txt
    • words
    • wallet.txt
    • *.txt
    • *.pdf

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

<補足>
インストール

スパイウェアは、以下のファイルを作成します。

• %Public%\Libraries\{ランダム}.scif → BitLockerToGo.exeのオリジナルコンテンツ
• %Public%\Libraries\{ランダム}.scif → LUMMACの不正な実行可能コード、後に削除される

その他

スパイウェアは、以下を実行します。

• 正規ファイル「BitLockerToGo.exe」のオリジナルコンテンツを%Public%\Libraries\{ランダム}.scifにコピーします。
• 正規ファイル「BitLockerToGo.exe」に不正な実行可能コードを注入します。
• 以下から情報を収集します。
  • 暗号資産（仮想通貨）：
    • Electrum
    • Ethereum
    • Exodus
    • Ledger Live
    • Atomic
    • Coinomi
    • Authy Desktop
    • Bitcoin
    • Binance
  • FTP およびリモートデスクトップクライアント：
    • AnyDesk
    • FileZilla
  • メッセージングアプリケーション
    • Telegram
  • Webブラウザ：
    • Brave
    • Epic Privacy
    • Vivaldi
    • 360 Browser
    • CocCoc
  • 電子メールクライアント：
    • PMAIL
    • Mailbird
    • eM Client
  • ファイル名：
    • seed.txt
    • pass.txt
    • ledger.txt
    • trezor.txt
    • metamask.txt
    • bitcoin.txt
    • words
    • wallet.txt
    • *.txt
    • *.pdf