Trojan.VBS.EMOTET.YJCBX

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• Trojan.X97M.EMOTET.YXCBX

インストール

マルウェアは、以下のプロセスを追加します。

• powershell.exe -command {powershell command}
• "%System%\cmd.exe" /c start /B %Windows%\syswow64\regsvr32.exe /s %ProgramData%\oiphilfj.dll

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}eetbomb.com/wp-content/15zZybP1EXttxDK4JH/
• https://{BLOCKED}she.com/wp-includes/z92ZVqHH8/
• http://{BLOCKED}ogreen.mightcode.com/Fox-C/NWssAbNOJDxhs/
• http://{BLOCKED}t.co.in/infructuose/m4mgt2MeU/
• http://mtc.{BLOCKED}g.org.za/-/GBGJeFxXWlNbABv2/
• http://www.{BLOCKED}a.cu/jpr/VVP/
• http://actividades.{BLOCKED}languages.com/wp-admin/dU8Ds/
• https://{BLOCKED}ter.com/wp-content/1sR2HfFxQnkWuu/
• https://{BLOCKED}ia.cn/wp-admin/0JAE/
• https://{BLOCKED}ygroup.cl/office/G42LJPLkl/
• https://{BLOCKED}u.top/mode/0Qb/

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %ProgramData%\oiphilfj.dll → detected as TrojanSpy.Win32.EMOTET.YXCBZZ

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )