• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.W97M.FRS.VSNW1FC25

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %User Temp%\Client.vbe → deleted afterwards
• %Application Data%\sfMDuuAQgkRkmby.vbs

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• CmD.exe /C cscript %tmp%\Client.vbe AC
• "%System%\WindowsPowerShell\v1.0\powershell.exe" -ExecutionPolicy Bypass -windowstyle hidden -noexit -Command [AppDomain]::CurrentDomain.Load([Convert]::FromBase64String((-join (Get-ItemProperty -LiteralPath 'HKEY_CURRENT_USER:\Software\sfMDuuAQgkRkmby' -Name 's').s | ForEach-Object {$_[-1..-($_.Length)]}))); [b.b]::b('sfMDuuAQgkRkmby')
• %Application Data%\sfMDuuAQgkRkmby.vbs
• "C:\Windows\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
Path = sfMDuuAQgkRkmby

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
in = 1

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
i = RegAsm.exe

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
cn = Stop-Process -Name conhost -Force

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
v = {[}AppDomain{]}::CurrentDomain.Load{(}[Convert{]}::FromBase64String{(}{(}-join {(}Get-ItemProperty -LiteralPath 'HKEY_CURRENT_USER:\Software\sfMDuuAQgkRkmby' -Name 's'{)}.s | ForEach-Object {{}$_{[}-1..-{(}$_.Length{)}{]}{}}{)}{)}{)}; {[}b.b{]}::b{(}'sfMDuuAQgkRkmby'{)}

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
r = {Reversed PE Binary String}

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
s = {Reversed Base64 String}

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby
instant = powershell.exe -ExecutionPolicy Bypass -windowstyle hidden -noexit -Command [AppDomain]::CurrentDomain.Load([Convert]::FromBase64String((-join (Get-ItemProperty -LiteralPath 'HKEY_CURRENT_USER:\Software\sfMDuuAQgkRkmby' -Name 's').s | ForEach-Object {$_[-1..-($_.Length)]}))); [b.b]::b('sfMDuuAQgkRkmby')

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby\
donn
segment{1-29} = {Reversed PE Binary Substring}

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby

HKEY_CURRENT_USER\Software\sfMDuuAQgkRkmby\
donn

以下のスケジュールされたタスクを追加します：

• Location: {Root Directory}
  Name: sfMDuuAQgkRkmby
  Trigger: One time at 12:00 AM on 8/16/2024 → After triggered, repeat every 00:01:00 indefinitely.
  Action: Start a program → %Application Data%\sfMDuuAQgkRkmby.vbs

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください