Trojan.W97M.EMOTET.JSHGNM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• Powershell -w hidden -en {Base64-encoded string}

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://www.{BLOCKED}ushti.org/wp-admin/cmLoLV/
• http://www.{BLOCKED}osduvexin.fr/revslider0/htr/
• http://{BLOCKED}op.com/wp-admin/0kuev1/
• http://{BLOCKED}test.bodait.com/cgi-bin/krh/
• https://{BLOCKED}entistico-candeo.it/wp-content/hF/

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\779.exe ← detected as Trojan.Win32.WACATAC.THABCBO

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、脆弱性を利用した感染活動を行いません。

注意：

文書ファイルを開封すると以下のメッセージが表示され、マクロ機能を有効化するようユーザを誘導します。

＜補足＞
インストール

マルウェアは、以下のプロセスを追加します。

• Powershell -w hidden -en {Base64でエンコードされた文字列}

ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\779.exe ← 「Trojan.Win32.WACATAC.THABCBO」として検出