HackTool.Win64.Lazagne.ZTHC-A

2021年5月24日

解析者: Paul Steven Nadera

別名:

HackTool:Win32/LaZagne (Microsoft); Trojan.Python.Spy, Trojan.Python.Spy (Ikarus);

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: ハッキングツール
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 5,735,701 bytes

タイプ EXE

メモリ常駐なし

発見日 2020年6月22日

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

その他

プログラムは、以下を実行します。

Supported software for different commands:
- {browsers}
- Windows:
  - 7Star
  - Amigo
  - BlackHawk
  - Brave
  - Centbrowser
  - Chedot
  - Chrome Canary
  - Chromium
  - Coccoc
  - Comodo Dragon
  - Comodo IceDragon
  - Cyberfox
  - Elements Browser
  - Epic Privacy Browser
  - Firefox
  - Google Chrome
  - Icecat
  - K-Meleon
  - Kometa
  - Opera
  - Orbitum
  - Sputnik
  - Torch
  - Uran
  - Vivaldi
- Linux:
  - Brave
  - Chromium
  - Dissenter-Browser
  - Google Chrome
  - IceCat
  - Firefox
  - Opera
  - SlimJet
  - Vivaldi
  - WaterFox
- Mac:
  - Chrome
  - Firefox
- {chats}
- Windows:
  - Pidgin
  - Psi
  - Skype
- Linux:
  - Pidgin
  - Psi
- {databases}
- Windows:
  - DBVisualizer
  - Postgresql
  - Robomongo
  - Squirrel
  - SQLdeveloper
- Linux:
  - DBVisualizer
  - Squirrel
  - SQLdevelopper
- {games}
- Windows:
  - GalconFusion
  - Kalypsomedia
  - RogueTale
  - Turba
- {git}
- Windows:
  - Git for Windows
- {mails}
- Windows:
  - Outlook
  - Thunderbird
- Linux:
  - Clawsmail
  - Thunderbird
- {maven}
- Windows:
  - Maven Apache
- {memory}
- Windows:
  - Keepass
  - Mimikatz method
- Linux:
  - System Password
- {multimedia}
- Windows:
  - EyeCON
- {php}
- Windows:
  - Composer
- {svn}
- Windows:
  - Tortoise
- {sysadmin}
- Windows:
  - Apache Directory Studio
  - CoreFTP
  - CyberDuck
  - FileZilla
  - FileZilla Server
  - FTPNavigator
  - OpenSSH
  - OpenVPN
  - KeePass Configuration Files (KeePass1, KeePass2)
  - PuttyCM
  - RDPManager
  - VNC
  - WinSCP
  - Windows Subsystem for Linux
- Linux:
  - Apache Directory Studio
  - AWS
  - Docker
  - Environnement variable
  - FileZilla
  - gFTP
  - History files
  - Shares
  - SSH private keys
  - KeePass Configuration Files (KeePassX, KeePass2)
  - Grub
- {wifi}
- Windows:
  - Wireless Network
- Linux:
  - Network Manager
  - WPA Supplicant
- Internal mechanism passwords storage
- Windows:
  - Autologon
  - MSCache
  - Credential Files
  - Credman
  - DPAPI Hash
  - Hashdump (LM/NT)
  - LSA secret
  - Vault Files
- Linux:
  - GNOME Keyring
  - Kwallet
  - Hashdump
- Mac:
  - Keychains
  - Hashdump

マルウェアは、以下のパラメータを受け取ります。

Main Commands:
- chats -> Run chats module
- mails -> Run mails module
- all -> Run all modules
- git -> Run git module
- svn -> Run svn module
- windows -> Run windows module
- wifi -> Run wifi module
- maven -> Run maven module
- sysadmin -> Run sysadmin module
- browsers -> Run browsers module
- games -> Run games module
- multimedia -> Run multimedia module
- memory -> Run memory module
- databases -> Run databases module
- php -> Run php module
optional arguments:
- -h, --help show help message and exit
- -version laZagne version
all -> Launch all modules
{command} -> Launch only a specific module
{command} -{supported software} -> Launch only a specific software script
all -oN -> Write all passwords found into a file (-oN for Normal txt, -oJ for Json, -oA for All)
all -oA -output {file path) -> Write all passwords found into a file (-oN for Normal txt, -oJ for Json, -oA for All)
-h -> Get help
{main command} -h -> Get help for specific command
all -vv -> Change verbosity mode (2 different levels)
all -quiet -oA -> Quiet mode (nothing will be printed on the standard output)
all -password {password} -> To decrypt domain credentials, it could be done specifying the user windows password. Otherwise it will try all passwords already found as windows passwords.
all --password {password} -> (for mac)
all -i -> interactive mode that will prompt a dialog box to the user until the password will be correct

対応方法

対応検索エンジン: 9.800

SSAPI パターンバージョン: 2.411.00

SSAPI パターンリリース日: 2021年5月27日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「HackTool.Win64.Lazagne.ZTHC-A」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください