Proxyware.MSIL.PoshC2.A

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ダウンロード活動

プログラムは、以下のWebサイトにアクセスして自身のコンポーネントファイルをダウンロードします。

• https://b{BLOCKED}ecim.store/babel-polyfill/6.3.14/polyfill.min.js=/?checks

ただし、情報公開日現在、このWebサイトにはアクセスできません。

情報漏えい

プログラムは、以下の情報を収集します。

• Computer name
• User name
• Processor architecture
• Current process name and id
• System date and time

その他

プログラムは、以下を実行します。

• Based on analysis of the codes, this malware has the following capabilities:
  • It checks if the system date is less than 12-01-2999 (MM-DD-YYYY) before proceeding to its intended routine.
  • If no network connection has been established,
    It resets itself 30 times, with each reset occurring at longer intervals of minutes than the previous one.
  • It decrypts the following using a hard coded base-64 key
    • Downloaded component file
    • Received encrypted commands
  • It matches the decrypted component with the following strings:
    • RANDOMURI
    • URLS
    • KILLDATE
    • SLEEP
    • JITTER
    • NEWKEY
    • IMGS
  • It compares the decrypted commands with the followings strings:
    • multicmd
    • exit
    • loadmodule
    • run-dll-background
    • run-exe-background
    • run-dll
    • run-exe
    • beacon