W2KM_HANCITOR.AUSTT

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスにコードを組み込みます。

• explorer.exe (32-bit version)
• svchost.exe (64-bit version)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Download files
• Execute files
• Download and load a module

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

• http://{BLOCKED}ejo.ru/ls5/forum.php
• http://{BLOCKED}okin.ru/ls5/forum.php
• http://{BLOCKED}suprat.com/ls5/forum.php

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://api.ipify.org/

マルウェアが実行する不正リモートユーザからのコマンドは以下のとおりです。

• ファイルのダウンロード
• ファイルの実行
• モジュールのダウンロードおよび読み込み

マルウェアは、マクロを有効にするようユーザを誘導します。

マルウェアは、以下の情報を収集して自身のサーバへ報告します。

• OSのバージョン
• IPアドレス
• コンピュータ名
• アカウント名
• コンピュータのGUID

情報は以下のフォーマットでサーバへ送信されます。

• GUID={machine guid}&BUILD={malware build version}&INFO={computer name | account name}&IP={IP address}&TYPE=1&WIN={OS version}

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。