TrojanSpy.MSIL.REDLINESTEALER.YXBDN
a variant of MSIL/Kryptik.AAHN trojan(NOD32); PWS-FCXD!F291EAD13EAD(NAI)
Windows
マルウェアタイプ:
スパイウェア/情报窃取型
破壊活动の有无:
なし
暗号化:
はい
感染報告の有無 :
はい
? 概要
トレンドマイクロは、このスパイウェアを狈辞迟别飞辞谤迟丑测（要注意）に分类しました。
スパイウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
スパイウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 スパイウェアは、特定のWebサイトにアクセスし、情報を送受信します。
詳細
侵入方法
スパイウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
インストール
スパイウェアは、以下のプロセスを追加します。
- {Malware Directory}\{Malware Filename}
スパイウェアは、以下のプロセスにコードを组み込みます。
- {Malware Directory}\{Malware Filename}
バックドア活动
スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Download - downloads a file to specified path
- DownloadAndEx - downloads a file to specified path then execute it
- OpenLink - opens a specific link in the browser
- Cmd - execute commands via cmd
スパイウェアは、以下の奥别产サイトにアクセスし、情报を送受信します。
- {BLOCKED}ri.xyz:80
情报漏えい
スパイウェアは、以下の情报を収集します。
- Gathers the following system info:
- Username
- Hardware ID
- Keyboard Layout
- Screenshot
- Screen Resolution
- Operating System
- UAC Settings
- Is Admin
- GPU Information
- CPU Information
- Memory (RAM)
- Installed Antiviruses
- IP Address
- Country
- City
- ZipCode
- System Language
- System Timezone
- Installed Programs
- Running Processes
- Gathers Info from:
- Browsers:
- Chrome Based Browsers
- Gecko Based Browsers (e.g. Firefox)
- FTP Clients:
- FileZilla
- Messaging Applications:
- Telegram
- VPN:
- NordVPN
- OpenVPN
- ProtonVPN
- Wallets:
- Armory
- Atomic
- Coinomi
- Electrum
- Ethereum
- Exodus
- Guarda
- Jaxx
- Metamask
- Monero
- Tron
- Others
- Others:
- Steam
- Discord
- Browsers:
その他
スパイウェアは、以下を実行します。
- Shows fake error message:
- MesageBox Title: System Error
- MessageBox Content: "The code execution cannot proceed because MSVCP140.dll was not found"
<補足>
インストール
スパイウェアは、以下のプロセスを追加します。
- 调マルウェアのディレクトリ皑袄调マルウェアのファイル名皑
スパイウェアは、以下のプロセスにコードを组み込みます。
- 调マルウェアのディレクトリ皑袄调マルウェアのファイル名皑
バックドア活动
スパイウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Download - 指定されたパスにファイルをダウンロードする
- DownloadAndEx - 指定されたパスにファイルをダウンロードして実行する
- OpenLink - ブラウザ内で特定のリンクを開く
- Cmd - CMDを介してコマンドを実行する
情报漏えい
スパイウェアは、以下の情报を収集します。
- 以下のシステム情报を収集します。
- ユーザ名
- ハードウェア滨顿
- キーボードの配列
- スクリーンショット
- 画面解像度
- オペレーティングシステム（翱厂）
- ユーザアカウント制御（鲍础颁）の设定
- Is Admin
- 骋笔鲍情报
- 颁笔鲍情报
- メモリ（搁础惭）
- インストール済みセキュリティ対策製品
- 滨笔アドレス
- 国
- 市
- 邮便番号
- コンピュータ言语
- コンピュータのタイムゾーン
- インストール済みプログラム
- 稼働中のプロセス
- 以下から情报を収集します。
- ブラウザ:
- 颁丑谤辞尘别ベースのブラウザ
- 骋别肠办辞ベースのブラウザ（贵颈谤别蹿辞虫など）
- 贵罢笔クライアント:
- FileZilla
- メッセージアプリケーション
- Telegram
- VPN:
- NordVPN
- OpenVPN
- ProtonVPN
- ウォレット:
- Armory
- Atomic
- Coinomi
- Electrum
- Ethereum
- Exodus
- Guarda
- Jaxx
- Metamask
- Monero
- Tron
- Others
- その他:
- Steam
- Discord
- ブラウザ:
その他
スパイウェアは、以下を実行します。
- 偽のエラー メッセージを表示します。
- メッセージボックスのタイトル: System Error
- メッセージボックスのコンテンツ: "The code execution cannot proceed because MSVCP140.dll was not found"
対応方法
手順 1
トレンドマイクロの机械学习型検索は、マルウェアの存在を示す兆候が确认された时点で検出し、マルウェアが実行される前にブロックします。机械学习型検索が有効になっている场合、弊社のウイルス対策製品はこのマルウェアを以下の机械学习型検出名として検出します。
-
?
- Troj.Win32.TRX.XXPE50FFF043
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（翱厂）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
奥颈苍诲辞飞蝉をセーフモードで再起动します。
手順 5
「罢谤辞箩补苍厂辫测.惭厂滨尝.搁贰顿尝滨狈贰厂罢贰础尝贰搁.驰齿叠顿狈」で検出したファイル名を确认し、そのファイルを终了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、をご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、をご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない场合、次の手顺にお进みください。
手順 6
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「TrojanSpy.MSIL.REDLINESTEALER.YXBDN」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。