• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_WATERTIGER-A.ZKGJ

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\Users\Public\Default20180309.log -> Contains execution logs

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

マルウェアは、以下のプロセスを追加します。

• %ProgramData%\Intel\DAL\slmgr.exe

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

その他

マルウェアは、以下を実行します。

• It searches for the file desktop.db in the following directories:
  • {malware directory}
  • %ProgramData%\Microsoft
  • %Windows%
  
  Failure to find the file desktop.db, it will search for files that match the regular-expression "*7???.*" in the following folders:
  • %System Root%\Users\Public\Documents
  • %ProgramData%\Microsoft
  • %Windows%
  
  Once found, it does the following:
  • Modify the file's timestamp based on the timestamp of the file %Windows%\notepad.exe
  • Read, Decrypt and Execute the contents of the file.

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

＜補足＞
インストール

マルウェアは、以下のファイルを作成します。

• %System Root%\Users\Public\Default20180309.log → 実行ログを含む

その他

マルウェアは、以下を実行します。

• マルウェアは、以下のディレクトリ内でファイル"desktop.db"を検索します。
  • {マルウェアのディレクトリ}
  • %ProgramData%\Microsoft
  • %Windows%
  
  ファイル"desktop.db"が見つからない場合、以下のフォルダ内で正規表現 「*7???.*」 と一致するファイルを検索します。
  • %System Root%\Users\Public\Documents
  • %ProgramData%\Microsoft
  • %Windows%
  
  該当するファイルを確認した場合、マルウェアは、以下を実行します。
  • ファイル"%Windows%\notepad.exe"のタイムスタンプに基づいてファイルのタイムスタンプを変更します。
  • 該当するファイルの内容を読み込み、復号して実行します。

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください