Trojan.Win32.PROMETEI.E

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\dell\{Ip Address}.cpass → contains encoded credentials
• %Windows%\dell\{Ip Address}.cpass_good → contains successfully authenticated encoded password

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

その他

マルウェアは、以下を実行します。

• It is being utilized by rdpcIip.exe → Detected as Trojan.Win32.PROMETEI.F
• It must be executed on a specific directory in order to continue to its malicious routine.
• It must be executed with the following parameters:
  • "%Windows%\dell\windrlver.exe" ssh {Ip Address}:{Port} "%Windows%\dell\{Ip Address}" {BLOCKED}.{BLOCKED}.123.34 HV
• It has the following functionalities:
  • It tries to login to remote servers using the list of pre-defined and gathered system credentials.
  • If the login was successful, It copies and executes malicious modules on the affected server.

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• %Windows%\dell\{IPアドレス}.cpass → エンコードされた認証情報を含む
• %Windows%\dell\{IPアドレス}.cpass_good → 正常に認証されたエンコードされたパスワードを含む

その他

マルウェアは、以下を実行します。

• マルウェアは、「rdpcIip.exe」によって利用されます。 → 「Trojan.Win32.PROMETEI.F」として検出
• マルウェアが自身の不正活動を続行するためには、特定のディレクトリ上で実行される必要があります。
• マルウェアは、以下のパラメータを用いて実行される必要があります。
  • "%Windows%\dell\windrlver.exe" ssh {IPアドレス}:{ポート} "%Windows%\dell\{IPアドレス}" {BLOCKED}.{BLOCKED}.123.34 HV
• マルウェアは、以下の機能を備えています。
  • マルウェアは、事前に定義された認証情報およびコンピュータから収集した認証情報のリストを用いて、リモートサーバへのログインを試行します。
  • ログインに成功すると、マルウェアは、影響を受けるサーバ上に不正なモジュールを追加し実行します。