JS_RETEFE.L

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

マルウェアは、特定の脆弱性を利用した感染活動を実行します。

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• TROJ_RETEFE.ASUAM

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{8 random characters}.ps1 -> 4 different files,
• %User Temp%\{6 random characters}.zip -> TOR Browser files
• %User Temp%\{Computer Name}.log -> contains logs of the malware's installation and information of the infected system

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のファイルを作成し実行します。

• %User Temp%\7za.exe -> 7zip(Normal File)

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

マルウェアは、以下のプロセスを追加します。

• powershell.exe -ep Unrestricted -f "%User Temp%\{8 random characters}.ps1" -> used to run other processes

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKCU\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
AutoConfigURL = "http://127.0.0.1:5555/{8 random characters}.js?ip={Victim's IP Address}"
4 instances

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• iexplore.exe
• firefox.exe
• chrome.exe

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://api.ipify.org/
• http://icanhazip.com/

マルウェアは、以下の脆弱性を利用して感染活動を実行します。

• EternalBlue