Worm.Win32.NEGASTEAL.B

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

ワームは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\NewApp\NewApp.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

自動実行方法

ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
NewApp = %Application Data%\NewApp\NewApp.exe

感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\{GUID}.exe

情報漏えい

ワームは、以下の情報を収集します。

• User Name
• Computer Name
• OS Name
• OS Version Platform
• OS Version
• Processor Name
• Amount of Physical Memory
• Username and Password from the following applications:
  • 360 Browser
  • 7Star
  • Amigo
  • BlackHawk
  • Brave Browser
  • CentBrowser
  • Chedot
  • Chrome
  • Chromium
  • Citrio
  • Claws-mail
  • CocCoc
  • Comodo Dragon
  • CoolNovo
  • Coowon
  • CoreFTP
  • CyberFox
  • DynDNS
  • Edge
  • Elements Browser
  • Epic Privacy Browser
  • Eudora
  • Firefox
  • FlashFXP
  • Flock
  • Foxmail
  • FTPCommander
  • FTPGetter
  • FTP Navigator
  • IceCat
  • IceDragon
  • IncrediMail
  • Internet Download Manager
  • Internet Explorer
  • Ipswitch
  • Iridium Browser
  • jDownloader
  • K-Meleon
  • Kometa
  • Liebao Browser
  • Mozilla
  • No-IP
  • OpenVPN
  • Opera Browser
  • Opera Mail
  • Orbitum
  • Outlook
  • PaleMoon
  • Paltalk
  • Pidgin
  • Pocomail
  • Postbox
  • Psi/Psi+
  • QIP Surf
  • QQ Browser
  • RimArts
  • Safari
  • SeaMonkey
  • Sleipnir 6
  • SmartFTP
  • Sputnik
  • SRWare Iron
  • The Bat!
  • Thunderbird
  • Torch Browser
  • Trillian
  • UC Browser
  • uCozMedia
  • Uran
  • Vitalwerks
  • Vivaldi
  • WaterFox
  • Wi-Fi
  • WinSCP
  • WS_FTP
  • Yandex Browser

情報収集

ワームは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

• {BLOCKED}pera@{BLOCKED}thospitals.org

その他

ワームは、以下を実行します。

• ワームは、リムーバブルドライブ上に存在するフォルダ名またはファイル名を利用した.lnk ファイルをリムーバブルドライブ内に作成します。その後、元のフォルダまたはファイルを隠すことにより、作成した.lnkファイルをユーザに開かせようとします

<補足>
感染活動

ワームは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。

{ドライブ文字}:\{GUID}.exe

情報漏えい

ワームは、以下の情報を収集します。

• ユーザ名
• コンピュータ名
• オペレーティングシステム（OS）名
• OSのプラットフォーム
• OSのバージョン
• プロセッサ名
• 物理メモリの量
• 以下のアプリケーションのユーザ名およびパスワード：
  • 360 Browser
  • 7Star
  • Amigo
  • BlackHawk
  • Brave Browser
  • CentBrowser
  • Chedot
  • Chrome
  • Chromium
  • Citrio
  • Claws-mail
  • CocCoc
  • Comodo Dragon
  • CoolNovo
  • Coowon
  • CoreFTP
  • CyberFox
  • DynDNS
  • Edge
  • Elements Browser
  • Epic Privacy Browser
  • Eudora
  • Firefox
  • FlashFXP
  • Flock
  • Foxmail
  • FTPCommander
  • FTPGetter
  • FTP Navigator
  • IceCat
  • IceDragon
  • IncrediMail
  • Internet Download Manager
  • Internet Explorer
  • Ipswitch
  • Iridium Browser
  • jDownloader
  • K-Meleon
  • Kometa
  • Liebao Browser
  • Mozilla
  • No-IP
  • OpenVPN
  • Opera Browser
  • Opera Mail
  • Orbitum
  • Outlook
  • PaleMoon
  • Paltalk
  • Pidgin
  • Pocomail
  • Postbox
  • Psi/Psi+
  • QIP Surf
  • QQ Browser
  • RimArts
  • Safari
  • SeaMonkey
  • Sleipnir 6
  • SmartFTP
  • Sputnik
  • SRWare Iron
  • The Bat!
  • Thunderbird
  • Torch Browser
  • Trillian
  • UC Browser
  • uCozMedia
  • Uran
  • Vitalwerks
  • Vivaldi
  • WaterFox
  • Wi-Fi
  • WinSCP
  • WS_FTP
  • Yandex Browser