［2月｜マルウェア分析レポート］防衛・航空宇宙分野の企業を狙うSnakeKeyloggerマルウェア

2025年04月14日

脅威分析

サンズラボの脅威分析チームは、毎月マルウェアを選定してレポートを作成しています。

サンズラボの脅威分析チームは、毎月マルウェアを選定してレポートを作成しています。
専門的な分析で把握したマルウェアの特徴、脅威の動向、関連情報などを共有し、安全なサイバー環境の実現を目指しています。
マルウェアの詳しい情報は、サイバー脅威インテリジェンスサービス<CTX>でご確認いただけます。

1. 概要

本レポートでは、業務関連のファイル名を使って配布されたインフォスティーラーマルウェアを分析します。

このマルウェアは「견적 요청 건.cmd」のような契約業務に関連するファイル名でユーザーに実行を促し、感染したシステムからアカウント情報、クレジットカード情報、Cookie、自動入力データなどを窃取します。

ソーシャルエンジニアリングで業務ファイルを装い、多段階の実行構造と検知回避技術を用いて悪意のある動作を行います。特に、プロセスホロウイング（Process Hollowing）によって正規プロセスに悪意のあるコードを注入し、検知を回避するとともに分析を困難にします。また、正規ソフトウェアに見せかけるために特定のオープンソースライブラリを含み、セキュリティ研究環境を検出して動作を制限する機能も確認されました。

類似事例として、トルコでも契約文書を装う悪意のあるメールによりSnake Keyloggerの亜種が配布された形跡が確認されています。メールで配布されたこのマルウェアは、本レポートの検体と同じくインフォスティーラー型で、ブラウザーやメールクライアントからアカウント情報、Cookie、クレジットカード情報などの機密データを収集します。両者の類似性から、今回分析したマルウェアもメールで配布された可能性が高いと考えられます。

分析したバージョンでは一部の機能が未完成でしたが、コード内にはセキュリティ製品の無効化、キーロギング、追加マルウェアのダウンロードなど、今後有効化される可能性のある機能が含まれています。本レポートでは、動作の仕組み、検知回避の戦略、今後の脅威要因を分析します。

2. マルウェア情報

サンズラボのCTXプラットフォームで、韓国を標的に配布されたインフォスティーラーマルウェアが見つかりました。

メソッド名やAPI呼び出しのキーなどを難読化し、検知回避を試みています。こうした難読化はマルウェアの構造や意図を把握しにくくし、セキュリティ製品の検知を回避するとともに分析時間を増加させます。

［図1］サンズラボCTXで確認された韓国を標的とするインフォスティーラーマルウェア

「견적 요청 건.cmd」というファイル名で配布され、被害者に実行を促した後、「Fuzio.exe」が動作する構成です。実行すると「Form1」という未完成のUIウィンドウが表示され、表面上はそれ以上の悪意のある動作が見えません。ユーザーにマルウェアの実行を気付かせないための設計と考えられます。

［図2］견적 요청 건.cmdの実行画面

バックグラウンドでは、アカウント情報やWebサイトに保存されたデータなどの機密情報を収集し、Telegram、Discord、Webパネルなどを介して攻撃者へ送信する機能を備えています。ただし、Telegramの設定ではトークンとIDが空のため、実際には送信されません。また、コード内には未実装のメソッドが多数確認されました。これらの結果から、マルウェアはまだ未完成と判断されます。

難読化したデータをリソースファイルに保存し、実行時に復号して悪意のあるペイロードとして使用します。実行時にはプロセスホロウイングで悪意のある動作を行うプロセスを隠し、分析を難しくするためにdnSpy¹、DarkUI²などのオープンソースライブラリを組み合わせていることが確認されました。Fuzio.exeとExample.dllにはdnSpyおよびDarkUI関連の名前空間が含まれており、正規のオープンソースプロジェクトを装って中核機能を隠す目的と考えられます。この手法は、マルウェアを通常のソフトウェアに見せかけ、検知を回避して本来の目的を隠す効果があります。

¹dnSpy：.NETバイナリの逆コンパイルとデバッグを行うツール

²DarkUI：UI要素を提供するライブラリ

［図3］Example.dll内の名前空間（左）に含まれるDarkUIライブラリ（右）の構成要素

以上から、このインフォスティーラーはソーシャルエンジニアリングと難読化を組み合わせて悪意のある動作を行い、分析を遅らせる戦略を採用したものと判断されます。現時点では未完成のため脅威は限定的ですが、追加機能が実装されれば、アカウントの窃取や機密情報の収集を通じて深刻な脅威となる可能性があります。

3. マルウェアの動作フロー

被害者が「견적 요청 건.cmd」を実行すると、内部でFuzio.exeが動作します。

この実行ファイルは内蔵リソースExampleを復号し、そのデータをメモリに読み込んで特定のクラスを実行します。

次にExample.dllが内蔵リソースAQipUvwTwkLZyiCsを復号し、内部の特定クラスを実行します。このクラスは同一の子プロセスを作成し、プロセスホロウイングでRemington.exeを注入します。これにより正規プロセスを装って検知を回避し、悪意のある動作を隠します。

最終的に実行されるRemington.exeは、感染したシステムから機密情報を収集する中核マルウェアです。ブラウザーのログイン情報、Cookie、クレジットカード情報、自動入力データ、ダウンロード履歴などを窃取するよう設計されています。収集したデータはFTP、メール（SMTP）、Discord、Telegram、C2サーバー、C2 Webパネルなどで外部へ送信できるコード構成です。ただし、現在有効なのはSMTPによるメール送信のみで、送信先として使われていたcovid19support.topと51.38.27.67:8081のサーバーは停止していることが確認されました。

［図4］マルウェアの動作フロー

4. マルウェア分析

4.1. Fuzio.exe

4.1.1. 全体的な機能分析

［図5］Fuzio.exeのファイル情報

Fuzio.exeは実行時に内蔵リソースExampleを復号し、特定のクラスを実行します。

プログラムを実行すると800 x 450の「Form1」というフォームが表示されますが、未完成の状態とみられます。正規ソフトウェアだと思わせて悪意のある動作に気付かせないことが目的と考えられます。

［図6］フォーム初期化コード

4.1.2. コードの詳細分析

Fuzio.exeはまず内蔵リソースExampleを抽出してバイト配列に変換し、攻撃者が作成したSYYM()関数で復号します。復号したデータをアセンブリとして読み込み、メタデータトークンの順序でpublic型の一覧を探索して36番目のpublic型を返すことで、特定のクラスを実行します。

［図7］Exampleの36番目のpublic型を返すメインコード

［図8］アセンブリの読み込み後、public型の一覧を返すコード

分析の結果、復号されたExampleのデータはExample.dllであり、そのpublic型一覧の36番目はUOBBssQLTBnTDUiGUyhCkhxiCLfOhJwhGkJTyTOxQQnJnDDhTsiクラスであることが確認されました。

4.2. Example.dll

4.2.1. 全体的な機能分析

［図9］Example.dllのファイル情報

Example.dllのUOBBssQLTBnTDUiGUyhCkhxiCLfOhJwhGkJTyTOxQQnJnDDhTsiクラスは、内蔵リソースAQipUvwTwkLZyiCsを復号します。復号データは特定のファイルとして読み込まれ、その内部のvTOBOpTyAAvQkvZvwvxLfhLDrUkCOfiQETyyQECGGfUQGEクラスにあるShopyBy()を呼び出します。このメソッドは2つの引数を受け取り、それらを利用して特定の処理を行います。

［図10］UOBBssQLTBnTDUiGUyhCkhxiCLfOhJwhGkJTyTOxQQnJnDDhTsiクラスのコード

4.2.2. コードの詳細分析

Example.dllは内蔵リソースAQipUvwTwkLZyiCsを復号してバイト配列に変換します。そのデータをThread.Get Domain().Load()でアセンブリとして読み込み、内部のfQTxvsCvCTEnwspAkDAivZUsnQiOyvnxpsAhvwBkvJGZMZ名前空間にあるvTOBOpTyAAvQkvZvwvxLfhLDrUkCOfiQETyyQECGGfUQGEクラス型を参照します。読み込んだクラスからShopyBy()を検索し、Invoke()で実行します。この際に渡される2つの引数は、次の役割を担います。

1. 第1引数：Scrivensリソースを復号し、バイト配列に変換したデータ

2. 第2引数：現在実行中の実行ファイルのパス、すなわち<실행 경로>\Fuzio.exe

［図11］ShopyBy()の実行結果を返すコード

分析により、各内蔵リソースの復号結果は以下のとおりと確認されました。

AQipUvwTwkLZyiCs -> AQipUvwTwkLZyiCs.dll	Scrivens -> Remington.exe

4.3. AQipUvwTwkLZyiCs.dll

4.3.1. 全体的な機能分析

［図12］AQipUvwTwkLZyiCs.dllのファイル情報

AQipUvwTwkLZyiCs.dllはShopyBy()を通じてプロセスホロウイングを行い、実行中のプロセスにマルウェアを注入します。新しいプロセスを一時停止（Suspended）状態で作成し、そのメモリを操作してScrivensファイル（Remington.exe）を注入します。最終的に新規プロセスは完全に置き換えられ、Remington.exeが実行されて悪意のある動作を行います。

4.3.2. コードの詳細分析

HandleRun()はプロセスホロウイングを行ってセキュリティソフトの検知を回避し、感染したシステムで密かに情報窃取や悪意のある動作を行えるようにします。

［図13］ShopyBy()のコード

このメソッドの全体的な動作手順は次のとおりです。

① 初期化とプロセス作成

HandleRun()は実行ファイルのパスを文字列として保存し、STARTUP_INFORMATIONとPROCESS_INFORMATION構造体を初期化します。次にCreateProcess()を呼び出して現在実行中のEXEの新しいプロセスを作成し、CREATE_SUS PENDEDフラグで一時停止状態を維持します。これにより、プロセスを実行する前にメモリを操作できます。

［図14］初期化とプロセス作成のコード

② メモリコンテキスト操作の準備

新しく作成したプロセスの実行コンテキストを取得するため、システム環境に応じてGetThreadContext()またはWow64GetThreadContext()を呼び出します。主要レジスター値を含むコンテキスト情報は、array配列に保存されます。

［図15］メモリコンテキスト操作の準備コード

③ PEヘッダーのオフセット計算

ScrivensファイルのPEヘッダーのオフセットを計算します。PE Signatureの位置を基準にデータを読み取ってヘッダーを解析し、ベースアドレスとセクション情報を抽出して追加のオフセットを計算します。PE構造に基づきメモリを正しくマッピングするために必要な処理です。

［図16］PEヘッダーのオフセット計算コード

④ イメージベースアドレスの確認とメモリ割り当て

元の実行ファイルとScrivensファイルのイメージベースアドレスを比較し、競合の有無を確認します。競合する場合は既存プロセスのメモリを解放し、VirtualAllocEx()でScrivensを読み込む新しいメモリ領域を割り当てます。割り当てに失敗した場合は別のアドレスを試すか、例外を発生させてプロセスを終了します。

［図17］イメージベースアドレス確認とメモリ割り当てのコード

⑤ 悪意のあるコードの注入

WriteProcessMemory()を使い、割り当てたメモリ領域へScrivensファイルをコピーします。この過程でヘッダーとセクションデータを解析し、各セクションを適切なメモリアドレスに読み込みます。特にVirtualAddressとPointerToRawDataを利用してメモリマップを正しく構成し、Scrivensを正常に実行できるよう準備します。

［図18］Scrivensデータの注入コード

⑥ 実行開始位置の更新

ScrivensのEntryPointアドレスを計算し、新しく作成したプロセスの実行コンテキストに反映します。SetThreadContext()またはWow64SetThreadContext()で実行開始位置をScrivensのEntryPointに変更し、完了後はScrivensのコードが実行される構成になります。

［図19］実行開始位置の更新コード

⑦ プロセスの再開

準備が完了するとResumeThread()で停止中のプロセスを再開します。この時点から元の実行ファイルではなくScrivens（Remington.exe）が動作し、感染したシステムで悪意のある処理を行います。最初に実行したファイルは正規プログラムに見えても、内部では完全に改変されたコードが動いていることになります。

［図20］プロセス再開コード

4.4. Remington.exe

4.4.1. 全体的な機能分析

［図21］Remington.exeの情報

Remington.exeは、感染したシステムから機密データを窃取して外部へ送信する中核モジュールです。内部でCOVID19名前空間を使用し、アカウント情報、WebサイトのCookie、クレジットカード情報、閲覧履歴、ダウンロード履歴などを収集する設計です。

実行環境を確認する解析妨害技術を用い、特定のネットワークではデータ窃取と送信を制限します。収集データはFTP、メール（SMTP）、Discord、Telegram、C2サーバー、C2 Webパネルなどで送信できる設計ですが、現在有効なのはSMTPのみと確認されました。

さらに、グローバルIPアドレスと国の情報を照会する機能や、Telegram APIでメッセージを送信する機能もあります。ただし、Telegram APIのトークンが空のため、現在この機能は無効です。covid19support.topとの通信も試みますが、サーバーは現在稼働していないことが確認されました。

4.4.2. コードの詳細分析

Remington.exe内のCOVID19名前空間には319個のメソッドが定義されていますが、このうち26個は宣言のみで、実際の機能は実装されていません。

［図22］COVID19.Main()のコードの一部

ClickTracker()はTelegramMSG()を呼び出し、Telegram APIでメッセージを送信します。sendMessageエンドポイントを呼び出して、HTTPリクエストでメッセージを渡す構成です。

［図23］ClickTrackerメソッドのコード

http://api.Telegram.org/bot<token>/sendMessage?chat_id=<chat_id>%text=<msg>

［図24］Telegram APIのメッセージ送信URL

［図25］TelegramMSGメソッドのコード

この機能で使用するトークンとチャットIDは難読化されていましたが、復号すると値が存在しませんでした。そのため、まだ有効化されていないか、攻撃者がテスト用にのみ使った可能性があります。

［図26］トークン値の復号結果

［図27］Telegram通信のデコード

感染したPCのグローバルIPアドレスと国の情報を確認する機能も含まれています。

特定のAPIで被害者のネットワーク情報を照会し、その情報に基づいて追加分析できるよう設計されています。

- checkup.dyndns.org -> 感染したPCのグローバルIPアドレスを照会

- reallyfreegeoip.org -> 取得したIPアドレスを基に国の情報を要求

［図28］ClickINFO変数の宣言コード

［図29］TheCountryNameInfo()のコード

［図30］IPLogger()のコード

これらの機能により、攻撃者は被害者のネットワーク環境を分析し、特定の国や組織に属するシステムかどうかを判断できます。

実際にファイルを実行した際のネットワーク通信を以下に示します。

［図31］実行時に発生するネットワーク通信

［図32］reallyfreegeoip APIとの通信

Remington.exeは感染したシステムから機密情報を窃取し、ブラウザーやシステムに保存されたさまざまなユーザーデータを収集する設計です。主な情報窃取機能は次のとおりです。

メソッド名	窃取する情報
COVIDST<メールクライアント>	ローカル設定ファイルとレジストリからアカウント情報を窃取
COVIDST<ブラウザー>	SQLiteデータベースからブラウザーのアカウント情報を窃取
Cookies_<ブラウザー>	SQLiteデータベースからブラウザーのCookie情報を窃取
CreditCard_<ブラウザー>	SQLiteデータベースからブラウザーに保存されたクレジットカード情報を窃取
AutoFill_<ブラウザー>	SQLiteデータベースからブラウザーの自動入力データを窃取
Downloads_<ブラウザー>	SQLiteデータベースからブラウザーの閲覧履歴を窃取
TopSites_<ブラウザー>	SQLiteデータベースからブラウザーでよく訪問するサイトの情報を窃取
DownloadRecord_<ブラウザー>	SQLiteデータベースからブラウザーのダウンロード履歴を窃取

［表1］各メソッドが窃取する情報

［図33］情報窃取メソッドのコード

AntiBotStart()は実行環境を確認してマルウェアを動作させるか判断します。まずAntiBot()で特定のネットワーク環境かどうかを確認し、特定のIPアドレスで動作する場合はデータ窃取機能を無効化します。

［図34］AntiBotStart()のコードの一部

［図35］AntiBot()のコード

コード内のIPアドレスのうち141.226.236.91は、イスラエルのBen-Gurion University of the Negvに属するサイバーセキュリティ研究機関と関連しています。また、3.23.155.57はAWS上のCAPE Sandbox解析環境で使用されていることが確認されました。いずれもセキュリティ研究やマルウェア解析に使われるインフラとみられ、攻撃者はそこで検知・解析されることを防ぐため例外処理を設けたと考えられます。

［図36］141.226.236.91

［図37］3.23.155.57:8000

一方、89.208.29.130と69.55.5.249については公開情報を確認できませんでしたが、攻撃者自身のテスト環境、または特定組織のネットワークに関連するIPである可能性があります。特定の環境でのみ正常に動作させるための設定と考えられ、配布前に内部テストを行った可能性を示しています。

これらの結果から、AntiBotStart()は特定のセキュリティ研究環境や解析システムで悪意のある動作を制限する機能と分かります。環境に基づく実行制限を利用し、研究者の分析を妨げて検知を回避する戦略と考えられます。

ユーザーデータを攻撃者へ送信する機能は、合計6種類の方式に対応しています。コードに含まれる方式は、FTP、メール（SMTP）、Discord、Telegram、C2サーバー、C2 Webパネルです。

送信方式	攻撃者の情報
FTPアップロード	FTPサーバー情報なし
メール（SMTP）送信	SMTPサーバー：mail.covid19support.top
Telegram送信	TelegramボットのトークンとID情報なし
C2サーバー送信	C2サーバー：http://51.38.247.67:8081/_send_.php?L
Discord Webhook送信	Discord Webhook URLとアカウント情報なし
C2 Webパネル送信	C2 WebパネルのAPIアドレス情報なし

［表2］送信方式と攻撃者の情報

［図38］窃取情報の送信コードの一部

現在有効なのはメール（SMTP）送信のみで、攻撃者は以下のアカウントを使ってデータを流出させたとみられます。

- 送信元メール：logs4@covid19support.top

- 宛先メール：log4@covid19support.top

- SMTPポート：587

- SMTPパスワード：7213575aceACE@@

攻撃者が使用したcovid19support.topドメインとC2サーバー（51.38.247.67:8081）は、現在停止していることも確認されました。

covid19support.topへのアクセスは「ERR_CONNECTION_REFUSED」となり、正常に接続できないことを確認しました。ドメインのIPアドレスは91.195.240.12で、追加分析の結果、ドイツを拠点とするドメインパーキングサービスで約260万以上のドメインが管理されていることが分かりました。攻撃者は特定の時期だけドメインを有効にしてマルウェアを配布し、遮断を避けるためにドメインを破棄するか、新しいインフラを構築した可能性が高いと考えられます。

［図39］covid19support.topへのアクセス結果

［図40］covid19support.topのIPアドレス照会結果

［図41］91.195.240.12の情報照会結果

51.38.247.67:8081のC2サーバーも応答せず、ポート8081から情報は返されませんでした。攻撃者がサーバーを停止したか、特定の条件下でのみ有効になるよう設定した可能性があります。

IP分析により、51.38.247.67はフランスのクラウド事業者OVH SASが割り当てたものと確認されました。攻撃者はOVH CloudでWindows Serverを搭載したVPS（Virtual Private Server）を確保し、C2サーバーとして運用していたと推測されます。総合すると、OVH SASのクラウドサービスでC2を運用した後、遮断を避けるために停止したか、特定のネットワーク環境からのみ接続できるよう制限した可能性があります。

［図42］51.38.247.67:8081への接続試行結果

［図43］51.38.247.67の情報照会結果

4.4.3. 未実装の悪意のある機能

Remington.exeには、宣言のみで実装されていないメソッドが多数含まれています。現在は実行されませんが、今後の更新で有効化される可能性のある機能を分析したところ、以下の悪意のある動作が可能と分かりました。

① 解析回避と自己保護機能

# AntiVm(), AntiSandboxie(), SelfHidden(), MeltMele()

- 仮想マシン（VM）やサンドボックス環境を検出して解析を防ぎ、存在を隠す機能を実行できる可能性

# SelfDestruct()

- 感染の痕跡を消すため自分自身のファイルを削除できる可能性。解析妨害や検知回避に使用されるおそれ

② セキュリティ機能の無効化とユーザー操作の制限

# DisableWD(), Restores_Disabler(), Taskmgr_Disabler(), CMD_Disabler(), Registeries_Disabler()

- セキュリティ製品（Windows Defender）とシステム復元機能を無効化し、タスクマネージャー（Task Manager）、コマンドプロンプト（CMD）、レジストリエディター（Registries）へのアクセスを遮断して、ユーザーの操作権限を制限できる可能性

③ 情報窃取と監視機能

# StartKeylogger(), KeyLogger()

- キーロギングにより、ログイン情報、金融情報、メール認証情報などを窃取するおそれ

# TakeScreenshot()

- 被害者の画面をキャプチャーして攻撃者へ送信できる可能性

# OutlookContact(), FoxmailCustomContact()

- メールクライアント（Outlook、Foxmail）に保存された連絡先を収集し、フィッシングや迷惑メール送信に悪用するおそれ

④ 追加の悪意のある動作

# DownloaderFile(), ProcessKiller(), Browser_Killer()

- リモートサーバーから追加マルウェアをダウンロードして実行したり、特定のプロセスを終了してセキュリティソフトやブラウザーを強制終了したりできる可能性

# CookiesEraser()

- ブラウザーのログインセッションや保存Cookieを削除して再認証を促し、新しい認証情報を窃取するおそれ

これらの機能は現在、宣言のみで有効化されていませんが、開発が継続すれば一部が有効になる可能性は高いと考えられます。特に、セキュリティ製品の無効化や解析妨害が実装されると検知回避能力が強まり、キーロギングや画面キャプチャーが有効になれば金融情報や企業の機密資料の窃取につながる可能性があります。

5. 結論

本レポートで分析したマルウェアは、感染したシステムからアカウント情報、ブラウザーデータ、クレジットカード情報などを窃取するインフォスティーラーです。CTX APT Intelligenceの分析では、韓国に加え、オーストラリア、ハンガリー、ドイツでも配布された形跡が確認されました。

これは、特定の国だけを狙う標的型攻撃ではなく、複数国を対象とした広範な攻撃キャンペーンの一部である可能性を示しています。

また、CTXは分析対象をSnakeKeyloggerの脅威タイプに分類し、covid19support.topとの関連を確認しました。

SnakeKeyloggerは.NETベースのインフォスティーラーで、メール（SMTP）、FTP、Telegramによる情報流出とキーロギング機能が特徴です。今回の検体にも同じ送信方式が実装され、SMTPで攻撃者のメールサーバーへデータを送る機能が確認されました。ただし、キーロギング関連のコードは宣言のみで動作しません。これらを踏まえると、SnakeKeyloggerの亜種である可能性が高く、既存のSnakeKeyloggerから一部機能を削除・変更したものと考えられます。今後、攻撃者がキーロギングを有効化する可能性も排除できません。

［図44］サンズラボCTXで確認されたマルウェアの関連キャンペーン情報

類似事例として、トルコではTUSAŞ（Turkish Aerospace Industries）をかたる悪意のあるメールでSnake Keyloggerの亜種が配布された形跡が確認されています。契約文書を装って被害者をだまし、感染したシステムからアカウント情報、ブラウザーのCookie、金融情報などを収集します。今回の検体にも類似のコード構成と窃取機能があることから、主な配布経路はメールだったと考えられます。

また、プロセスホロウイング（Process Hollowing）で正規プロセスに悪意のあるコードを注入し、検知を回避して解析を困難にします。正規ソフトウェアに見せかけるために特定のオープンソースライブラリを含み、セキュリティ研究環境を検出して動作を制限する機能も確認されました。

分析したバージョンは一部未完成ですが、コードにはセキュリティ製品の無効化やキーロギングなど、今後有効化される可能性のある機能が含まれます。今後の更新や亜種の登場により、さらに高度な情報窃取と検知回避の機能を備えることになると考えられます。

6. 収集・流出する情報

窃取する情報	詳細	対象プログラム
ブラウザー	- アカウント情報 - Cookie - クレジットカード情報 - 自動入力データ - 閲覧履歴 - よく訪問するサイト - ダウンロード履歴	360 China, 360 English, 7Star, Amigo, BlackHawk, Blisk, Brave, Cent, Chedot, Chrome, Chrome Canary, Chromium, Citrio, CocCoc, Comodo, CoolNovo, Coowon, CyberFox, Epic, Falkon, FireFox, Ghost, IceDragon, Iridium, Iron, Kinza, Kometa, Liebao, MicrosoftEdge, Nichrome, Orbitum, PaleMoon, QIPSurf, QQ, SeaMonkey, Sleipnir, Slim, Slimjet, Sputnik, Superbird, Torch, UC, Uran, Vivaldi, WaterFox , Xpom, xVast
メール	- アカウント情報 - IMAPパスワード - POP3パスワード - HTTPパスワード - SMTPパスワード	Outlook, Foxmail, Thunderbird, PostBox
FTP	- ホスト - ユーザー - パスワード - ポート	FileZilla

窃取する情報

詳細

対象プログラム

ブラウザー

- アカウント情報

- Cookie

- クレジットカード情報

- 自動入力データ

- 閲覧履歴

- よく訪問するサイト

- ダウンロード履歴

360 China, 360 English, 7Star, Amigo, BlackHawk, Blisk, Brave, Cent, Chedot, Chrome, Chrome Canary, Chromium, Citrio, CocCoc, Comodo, CoolNovo, Coowon, CyberFox, Epic, Falkon, FireFox, Ghost, IceDragon, Iridium, Iron, Kinza, Kometa, Liebao, MicrosoftEdge, Nichrome, Orbitum, PaleMoon, QIPSurf, QQ, SeaMonkey, Sleipnir, Slim, Slimjet, Sputnik, Superbird, Torch, UC, Uran, Vivaldi, WaterFox , Xpom, xVast

メール

- アカウント情報

- IMAPパスワード

- POP3パスワード

- HTTPパスワード

- SMTPパスワード

Outlook, Foxmail, Thunderbird, PostBox

FTP

- ホスト

- ユーザー

- パスワード

- ポート