TSPY_DARKTHI.A

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

スパイウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

スパイウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• {Infected Machine GUID}

バックドア活動

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://a{BLOCKED}-master.net/getcfg={Encoded Infected Machine GUID} ← Will be used as marker/identifier of the infected machine for the C2 communication

情報漏えい

スパイウェアは、以下の情報を収集します。

• Account Information/Credentials from the following Instant Messaging applications:
  • PidGin
  • PsiPlus
  • Telegram
• It attempts to steal stored account information used in the following installed File Transfer Protocol (FTP) clients or file manager software:
  • FileZilla
  • WinSCP
• It attempts to steal stored email credentials from the following:
  • InternetMailRu
  • Microsoft Outlook
  • Thunderbird
• It attempts to get stored information such as user names, passwords, and host names from the following browsers:
  • 7Star
  • 360Browser
  • Amigo (Russian Browser)
  • Brave
  • Bromium
  • CentBrowser
  • Chedot
  • Chrome/Chromium
  • CocCoc (Vietnam Browser)
  • Comodo Dragon Browser
  • ElementsBrowser
  • Epic
  • Firefox
  • GoBrowser
  • Internet Explorer/Edge
  • Kometa
  • Mustang
  • Nichrome
  • Opera
  • Orbitum
  • QIPSurf
  • RockMelt
  • SaferBrowser
  • Sputnik
  • Suhba
  • Superbird
  • Thunderbird
  • TorBro
  • Torch
  • Uran
  • Vivaldi
  • Yandex Browser
• Stored Password in SQL Database
• It attempts to steal bitcoin wallet information with the following list of specific bitcoin wallet:
  • MultiBitHD
  • Electrum
  • Monero
  • Bitcoin Core
• Skype Message History
• Browser Cookies
• Autocomplete Data on Browsers
• Files with specific extensions from %Desktop%
• Steam Account Information
• Username
• Computer Name
• List of installed programs
• List of running processes
• OS information
• RAM information
• IP Address

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

情報収集

スパイウェアは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

• http://a{BLOCKED}-master.net/repac.php

その他

ただし、情報公開日現在、このWebサイトにはアクセスできません。