Trojan.Win32.EMOTET.CMPNPJ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %Windows%\SysWOW64\winshfhc

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

自動実行方法

マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\winshfhc
ImagePath = "%Windows%\SysWOW64\winshfhc\winshfhc.exe"

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %Windows%\SysWOW64\bidellipse.exe
• %Windows%\SysWOW64\winshfhc\winshfhc.exe:Zone.Identifier
• {malware file path and name}

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\
Microsoft\Windows\CurrentVersion\
explorer
1cca0df5 = "\x82\xa3\x1c\x9b\xb9\x1c\x9d\xac\x1c\x9d\xa9\x1c"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\winshfhc
DisplayName = "winshfhc"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\winshfhc
Start = "SERVICE_AUTO_START"

作成活動

マルウェアは、以下のファイルを作成します。

• %Windows%\SysWOW64\winshfhc\winshfhc.exe

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.222.187/9xueO98J
• http://{BLOCKED}.131.87/9aS0a9brd158v/0FbfOV
• {BLOCKED}.150.13
• {BLOCKED}6.28.47

このウイルス情報は、自動解析システムにより作成されました。