Trojan.Win32.EMOTET.UWAOIBEMV

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• If the sample is ran with administrator rights:
  • %System%\rundll32.exe "%System%\{Random Folder Name}\{Random file name}.{Random 3 letter extension}", {random characters}
  • %System%\rundll32.exe "%System%\{Random Folder Name}\{Random file name}.{Random 3 letter extension}",DllRegisterServer
• If the sample is ran without administrator rights:
  • %System%\rundll32.exe "%AppDataLocal%\{Random Folder Name}\{Random File Name}.{Random Extension}", {random characters}
  • %System%\rundll32.exe "%AppDataLocal%\{Random Folder Name}\{Random file name}.{Random 3 letter extension}",DllRegisterServer

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.204.126
• {BLOCKED}.{BLOCKED}.163.161
• {BLOCKED}.{BLOCKED}.230.105
• {BLOCKED}.{BLOCKED}.25.185
• {BLOCKED}.{BLOCKED}.214.46
• {BLOCKED}.{BLOCKED}.143.207
• {BLOCKED}.{BLOCKED}.201.4
• {BLOCKED}.{BLOCKED}.72.26
• {BLOCKED}.{BLOCKED}.225.142
• {BLOCKED}.{BLOCKED}.115.99
• {BLOCKED}.{BLOCKED}.222.11
• {BLOCKED}.{BLOCKED}.147.66
• {BLOCKED}.{BLOCKED}.102.168
• {BLOCKED}.{BLOCKED}.71.0
• {BLOCKED}.{BLOCKED}.84.195
• {BLOCKED}.{BLOCKED}.117.186
• {BLOCKED}.{BLOCKED}.59.82
• {BLOCKED}.{BLOCKED}.24.231
• {BLOCKED}.{BLOCKED}.99.3
• {BLOCKED}.{BLOCKED}.201.2
• {BLOCKED}.{BLOCKED}.108.46
• {BLOCKED}.{BLOCKED}.109.124
• {BLOCKED}.{BLOCKED}.114.231
• {BLOCKED}.{BLOCKED}.71.210
• {BLOCKED}.{BLOCKED}.135.203
• {BLOCKED}.{BLOCKED}.188.93
• {BLOCKED}.{BLOCKED}.232.124
• {BLOCKED}.{BLOCKED}.212.216
• {BLOCKED}.{BLOCKED}.222.101
• {BLOCKED}.{BLOCKED}.186.49
• {BLOCKED}.{BLOCKED}.134.35
• {BLOCKED}.{BLOCKED}.106.96
• {BLOCKED}.{BLOCKED}.236.90
• {BLOCKED}.{BLOCKED}.226.206

マルウェアは、以下を実行します。

• If the sample is ran with administrator rights it renames itself to %System%\{Random Folder Name}\{Random file name}.{Random 3 letter extension}
• If the sample is ran without administrator rights it renames itself to %AppDataLocal%\{Random Folder Name}\{Random file name}.{Random 3 letter extension}

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)