Trojan.MSIL.RAWLD.THBOFBD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\Help\Stage3.exe
• {Malware Path}\log\Stage2{yyyy-MM-dd}.bin

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のプロセスを追加します。

• If the machine is not in Safe Mode and neither "%Windows%\Help\Finish.exe" nor "%Windows%\Help\Exclude.exe" exists:
  • "cmd" /c start %Windows%\Help\Stage3.exe
• If the machine is in SafeMode but either "%Windows%\Help\Finish.exe" or "%Windows%\Help\Exclude.exe" exists:
  • "cmd" /c del %Windows%\Help\Stage3.exe
  • "cmd" /c del %Windows%\Help\Pay.txt
  • "sc" delete MSOfficeRunOncelsls
  • "reg" delete "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MSOfficeRunOncelsls" /f
  • "cmd" /c start ping 127.0.0.1 -n 10 && cmd /c del %Windows%\Help\Stage2.exe && cmd /c shutdown -r -f -t 00
  • "shutdown" -r -f -t 00
• If the machine is not in Safe Mode and neither "%Windows%\Help\Finish.exe" nor "%Windows%\Help\Exclude.exe" exists:
  • "sc" create MSOfficeRunOncelsls binpath= %Windows%\Help\Stage2.exe start= auto displayname= MSOfficeRunOncelsls
  • "reg" add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MSOfficeRunOncelsls" /t REG_SZ /d Service /f
  • "shutdown" -r -f -t 00

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のフォルダを作成します。

• {Malware Path}\log

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
MSOfficeRunOncelsls
(default) = Service

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
MSOfficeRunOncelsls

マルウェアは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Network\
MSOfficeRunOncelsls

その他

マルウェアは、以下を実行します。

• It configures the Boot Configuration Data (BCD) to:
  • enable safe boot option with networking
  • disable safe boot option
• It checks for the following files to determine prior compromise or the exclusion of the machine from infection:
  • %Windows%\Help\Finish.exe
  • %Windows%\Help\Exclude.exe
• It creates a log file if any error is encountered during execution.
• It performs different actions depending on the result of system and file checks:
  • If executed in Safe Mode and passed the file verification:
    • It decrypts the contents of the file %Windows%\Help\Pay.txt using a hard-coded decryption key.
    • The decrypted content is saved as %Windows%\Help\Stage3.exe and executed.
  • If executed in Safe Mode but did not pass the file verification:
    • It disables the Safe Boot option, deletes malware remnants, and reboots the machine.
  • If not executed in Safe Mode and passed the file verification:
    • It enables the Safe Boot with Networking, creates a service, adds a registry key, and reboots the machine.
• It adds the following service:
  • Name: MSOfficeRunOncelsls
  • Start Type: Autostart
  • Binary Path: %Windows%\Help\Stage2.exe
• It deletes the following service:
  • MSOfficeRunOncelsls

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)