TROJ_DALEXIS.P

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下の無害なファイルを作成します。

• %User Temp%\{malware file name}.rtf

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\{random filename}.{random extension}
• where {random extension} may any of the following:
  • txt
  • rtf
  • doc
  • chm
  • hlp
  • ttf
  • pdf
  • fb2
  • xls
  • ppt
  • mdb
  • cda
  • wav
  • wma
  • mp3
  • avi
  • mpg
  • mdv
  • flv
  • swf
  • wmv
  • vob
  • bmp
  • gif
  • jpg
  • png
  • iso
  • mdf
  • mds
  • bin
  • dat
  • nrg
  • 3gp
  • ogg
  • vob
  • exe
  • dll

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}tionsinc.com/data-test/hello.tar.gz
• https://ppc.{BLOCKED}a.pl/cache/hello.tar.gz
• https://{BLOCKED}l.cat/IESABP/hello.tar.gz
• https://{BLOCKED}uta.com/templates/hello.tar.gz

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\{random filename}.exe ← TROJ_CRYPCTB.P

マルウェアは、ダウンロードしたファイルを実行します。