Trojan.O97M.EMOTET.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\{7 Random Characters}.tmp
• %User Temp%\OneNote\14.0\NT\0\click.wsf
• %User Temp%\OneNote\14.0\NT\0\{8 Random Characters}.tmp.dll
• (Malware File Path)\(8 Random Characters).tmp.dll

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\Wscript.exe" "%User Temp%\OneNote\14.0\NT\0\click.wsf"
• "%System%\regsvr32.exe" "%User Temp%\OneNote\14.0\NT\0\(8 Random Characters).tmp.dll"
• "%System%\regsvr32.exe" "{Malware File Path}\(8 Random Characters).tmp.dll"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}i.su
• http://{BLOCKED}s.group
• http://{BLOCKED}rezporro.com
• http://{BLOCKED}entrust.com
• http://{BLOCKED}g-demo.com
• http://{BLOCKED}y.su
• http://{BLOCKED}cara.com.br
• http://{BLOCKED}v.pl
• http://www.{BLOCKED}h-crewing.com
• http://{BLOCKED}a.sglwebs.com
• http://{BLOCKED}dom.com