HTML_EXPLOYT.THAAHH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Webサイトに組み込まれており、ユーザがアクセスすると実行されます。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\System32\shell32.dll detected as ← TROJ_STARTER.THBGBH

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のフォルダを作成します。

• %User Temp%\System32

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.60.18/?NDY2MjUz&YGcekzkoSzY&aIAZTzw=bWlzc2luZw==&DYazViGTZnQ=bG9jYXRlZA==&evRdtGXw=Y2FwaXRhbA==&vwezWX=YXR0YWNrcw==&qYlYxE=YXR0YWNrcw==&cWtHzRvHTFPQDK=YXR0YWNrcw==&LyObIiBqgc=dW5rbm93bg==&ICdAGwhETKUW=bG9jYXRlZA==&LjUehzEDyO=YXR0YWNrcw==&YQHXJgt=YXR0YWNrcw==&Lsfgd=wHjQMvXcJwDMFYbGMvrESqNbNknQA0KPxpH2_drSdZqxKGni1eb5UUSk6FiCEh3h96Yo&dciyJbezS=bG9jYXRlZA==&kiXXUr=bWlzc2luZw==&zTFEayfExgesp=bG9jYXRlZA==&cKSCrpJViuQfh=dW5rbm93bg==&zvYkEDwaWNM=bWlzc2luZw==&kQjmBbOTr=bWlzc2luZw==&ymPsdP3=fOBYP1GzixDWeAFjlYtfUghA8Kuq2kLVwUSYhJPQrBeMYg919pucHbg_0VT8_-xUdMgX&QkHytjPAmFYY=dW5rbm93bg==

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{Random Characters}.exe ← Detected as TROJ_RAMNIT.CBQ