Trend Micro Security

TrojanSpy.MSIL.NEGASTEAL.TCLRYNAA

2025年12月24日
 解析者: Neljorn Nathaniel Aguas   
 別名:

Trojan:MSIL/AgentTesla.KKAA!MTB (MICROSOFT)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: スパイウェア/情報窃取型
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要


スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、バックドア活動の機能を備えていません。

  詳細

ファイルサイズ 240,128 bytes
タイプ EXE
メモリ常駐 なし
発見日 2025年12月17日

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、バックドア活動の機能を備えていません。

ルートキット機能

スパイウェアは、ルートキット機能を備えていません。

情報漏えい

スパイウェアは、以下の情報を収集します。

  • System Information:
    • Computer name
    • Username
    • OS version
    • Network configuration
    • IP address
  • Browser Credentials:
    • Google Chrome
    • Mozilla Firefox
    • Microsoft Edge
    • Opera
    • Brave
    • Chromium
    • Vivaldi
    • Yandex Browser
    • 360 Browser
    • CentBrowser
    • Chedot
    • Citrio
    • Coowon
    • CocCoc Browser
    • Comodo Dragon
    • Comodo IceDragon
    • CoolNovo
    • Cyberfox
    • Elements Browser
    • Epic Privacy Browser
    • Flock Browser
    • Iridium Browser
    • K-Meleon
    • Kometa
    • Liebao Browser
    • Maxthon
    • Orbitum
    • Pale Moon
    • QIP Surf
    • QQ Browser
    • SeaMonkey
    • Sleipnir
    • SRWare Iron
    • Torch Browser
    • UC Browser
  • FTP Client Credentials:
    • FileZilla
    • WinSCP
    • CoreFTP
    • SmartFTP
    • FTPGetter
    • FTP Navigator
    • FlashFXP
    • FTPCommander
    • Cyberduck
    • WS_FTP
  • Email Client Credentials:
    • Microsoft Outlook
    • Mozilla Thunderbird
    • Foxmail
    • Opera Mail
    • PocoMail
    • IncrediMail
    • Becky! Internet Mail
    • The Bat!
    • Postbox
    • Mailbird
    • eM Client
    • Claws Mail
    • Windows Mail
    • Windows Live Mail
    • Gmail Notifier Pro
    • Yahoo! Mail
  • VPN Client Credentials:
    • OpenVPN
    • NordVPN
  • VNC Client Credentials:
    • RealVNC
    • TightVNC
    • UltraVNC
  • Other Credentials:
    • Discord tokens
    • Telegram session data
    • Pidgin (IM client)

情報収集

スパイウェアは、SMTPを用いて、自身が収集した情報を以下のEメールアドレスに送信します。

  • {BLOCKED}@gmail.com
  • {BLOCKED}@pgsu.co.id

情報の送信先

スパイウェアは、自身のSMTPエンジンを用いて収集したデータを送信します。その際、以下のドメインサーバが利用されます。

  • {BLOCKED}.co.id:587

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

  • https://account.{BLOCKED}.com

スパイウェアは、以下を実行します。

  • It reads the following files to gather credentials:
    • %Application Data%\FileZilla\recentservers.xml
    • %Application Data%\FileZilla\sitemanager.xml
    • %Application Data%\FTPGetter\servers.xml
    • %Application Data%\SmartFTP\Client 2.0\Favorites\Quick Connect
    • %Application Data%\Mozilla\Firefox\profiles.ini
    • %Application Data%\Opera Software\Opera Stable\Login Data
    • %Application Data%\Thunderbird\profiles.ini
    • %Application Data%\Foxmail\mail\
    • %Application Data%\discord\Local Storage\leveldb\
    • %AppDataLocal%\Google\Chrome\User Data\Local State
    • %AppDataLocal%\Google\Chrome\User Data\Default\Login Data
    • %AppDataLocal%\Google\Chrome\User Data\Default\Web Data
    • %AppDataLocal%\Microsoft\Edge\User Data\Default\Login Data
  • It queries the following registry keys to gather credentials:
    • HKEY_CURRENT_USER\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions
    • HKEY_CURRENT_USER\SOFTWARE\FTPWare\COREFTP\Sites
    • HKEY_CURRENT_USER\Software\Microsoft\Windows Messaging Subsystem\Profiles\9375CFF0413111d3B88A00104B2A6676
    • HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles
    • HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\Profiles
    • HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Outlook\Profiles
    • HKEY_CURRENT_USER\Software\RimArts\B2\Settings
    • HKEY_CURRENT_USER\Software\RealVNC\WinVNC4
    • HKEY_CURRENT_USER\Software\TightVNC\Server
    • HKEY_CURRENT_USER\Software\TigerVNC\WinVNC4
  • It captures keystrokes using a low-level keyboard hook.
  • It monitors clipboard content for copied passwords and sensitive data.
  • It periodically captures screenshots of the desktop.

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
情報漏えい

スパイウェアは、以下の情報を収集します。

  • システム情報：
    • コンピュータ名
    • ユーザ名
    • オペレーティングシステム（OS）のバージョン
    • ネットワーク構成
    • IPアドレス
  • ブラウザに関わる認証情報：
    • Google Chrome
    • Mozilla Firefox
    • Microsoft Edge
    • Opera
    • Brave
    • Chromium
    • Vivaldi
    • Yandex Browser
    • 360 Browser
    • CentBrowser
    • Chedot
    • Citrio
    • Coowon
    • CocCoc Browser
    • Comodo Dragon
    • Comodo IceDragon
    • CoolNovo
    • Cyberfox
    • Elements Browser
    • Epic Privacy Browser
    • Flock Browser
    • Iridium Browser
    • K-Meleon
    • Kometa
    • Liebao Browser
    • Maxthon
    • Orbitum
    • Pale Moon
    • QIP Surf
    • QQ Browser
    • SeaMonkey
    • Sleipnir
    • SRWare Iron
    • Torch Browser
    • UC Browser
  • FTPクライアントに関わる認証情報：
    • FileZilla
    • WinSCP
    • CoreFTP
    • SmartFTP
    • FTPGetter
    • FTP Navigator
    • FlashFXP
    • FTPCommander
    • Cyberduck
    • WS_FTP
  • メールクライアントに関わる認証情報：
    • Microsoft Outlook
    • Mozilla Thunderbird
    • Foxmail
    • Opera Mail
    • PocoMail
    • IncrediMail
    • Becky! Internet Mail
    • The Bat!
    • Postbox
    • Mailbird
    • eM Client
    • Claws Mail
    • Windows Mail
    • Windows Live Mail
    • Gmail Notifier Pro
    • Yahoo! Mail
  • VPNクライアントに関わる認証情報：
    • OpenVPN
    • NordVPN
  • VNCクライアントに関わる認証情報：
    • RealVNC
    • TightVNC
    • UltraVNC
  • そのほかの認証情報：
    • Discordのトークン
    • Telegramのセッションデータ
    • Pidgin（IMクライアント）

その他

スパイウェアは、以下を実行します。

  • 認証情報を収集するために以下のファイルを読み取ります。
    • %Application Data%\FileZilla\recentservers.xml
    • %Application Data%\FileZilla\sitemanager.xml
    • %Application Data%\FTPGetter\servers.xml
    • %Application Data%\SmartFTP\Client 2.0\Favorites\Quick Connect
    • %Application Data%\Mozilla\Firefox\profiles.ini
    • %Application Data%\Opera Software\Opera Stable\Login Data
    • %Application Data%\Thunderbird\profiles.ini
    • %Application Data%\Foxmail\mail\
    • %Application Data%\discord\Local Storage\leveldb\
    • %AppDataLocal%\Google\Chrome\User Data\Local State
    • %AppDataLocal%\Google\Chrome\User Data\Default\Login Data
    • %AppDataLocal%\Google\Chrome\User Data\Default\Web Data
    • %AppDataLocal%\Microsoft\Edge\User Data\Default\Login Data
  • 認証情報を収集するために、以下のレジストリキーを照会します。
    • HKEY_CURRENT_USER\SOFTWARE\Martin Prikryl\WinSCP 2\Sessions
    • HKEY_CURRENT_USER\SOFTWARE\FTPWare\COREFTP\Sites
    • HKEY_CURRENT_USER\Software\Microsoft\Windows Messaging Subsystem\Profiles\9375CFF0413111d3B88A00104B2A6676
    • HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles
    • HKEY_CURRENT_USER\Software\Microsoft\Office\16.0\Outlook\Profiles
    • HKEY_CURRENT_USER\Software\Microsoft\Office\15.0\Outlook\Profiles
    • HKEY_CURRENT_USER\Software\RimArts\B2\Settings
    • HKEY_CURRENT_USER\Software\RealVNC\WinVNC4
    • HKEY_CURRENT_USER\Software\TightVNC\Server
    • HKEY_CURRENT_USER\Software\TigerVNC\WinVNC4
  • 低レベルのキーボードフックを使ってキー入力操作情報をキャプチャします。
  • クリップボードの内容を監視し、コピーされたパスワードや機密データがないかを確認します。
  • 定期的にスクリーンショットをキャプチャします。

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 20.648.02
初回 VSAPI パターンリリース日 2025年12月17日
VSAPI OPR パターンバージョン 20.649.00
VSAPI OPR パターンリリース日 2025年12月18日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.MSIL.NEGASTEAL.TCLRYNAA」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください