Trojan.Win32.ACLL.0NA103CE24

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Windows\Recent\CustomDestinations\{Random Characters}.temp
• %User Temp%\{8 Random Characters}.pdh.ps1 - Deleted Afterwards
• %User Temp%\{8 Random Characters}.snn.psm1 - Deleted Afterwards
• %User Temp%\{8 Random Characters}.2tr.ps1 - Deleted Afterwards
• %User Temp%\{8 Random Characters}.bmj.psm1 - Deleted Afterwards
• %AppDataLocal%\Microsoft\Windows\PowerShell\StartupProfileData-Interactive
• %AppDataLocal%\Microsoft\Windows\PowerShell\StartupProfileData-NonInteractive

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスを追加します。

• "C%System%\WindowsPowerShell\v1.0\powershell.exe" if (!(Test-Path fakes_war_time.pdf.lnk)) { if ((gci $env:tmp -Name Rar* | Select-Object -First 1) -ne $null) {cd $env:tmp/$(gci $env:tmp -Name Rar* | Select-Object -First 1)} else {cd $env:tmp/$(gci $env:tmp -Name *.zip.* | Select-Object -First 1)} } gc fakes_war_time.pdf.lnk -Tail "1" | powershell

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap
UNCAsIntranet = 0

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap
AutoDetect = 1

(註：変更前の上記レジストリ値は、「0」となります。)