HackTool.Win32.Mpacket.SM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %User Temp%\_MEI{random}

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のファイルを作成します。

• %User Temp%\_MEI{random}\Crypto.Cipher._AES.pyd
• %User Temp%\_MEI{random}\Crypto.Cipher._ARC4.pyd
• %User Temp%\_MEI{random}\Crypto.Cipher._DES.pyd
• %User Temp%\_MEI{random}\Crypto.Cipher._DES3.pyd
• %User Temp%\_MEI{random}\Crypto.Hash._MD4.pyd
• %User Temp%\_MEI{random}\Crypto.Hash._SHA256.pyd
• %User Temp%\_MEI{random}\Crypto.Random.OSRNG.winrandom.pyd
• %User Temp%\_MEI{random}\Crypto.Util._counter.pyd
• %User Temp%\_MEI{random}\Crypto.Util.strxor.pyd
• %User Temp%\_MEI{random}\Microsoft.VC90.CRT.manifest
• %User Temp%\_MEI{random}\_ctypes.pyd
• %User Temp%\_MEI{random}\_hashlib.pyd
• %User Temp%\_MEI{random}\_mssql.pyd
• %User Temp%\_MEI{random}\_multiprocessing.pyd
• %User Temp%\_MEI{random}\_socket.pyd
• %User Temp%\_MEI{random}\_ssl.pyd
• %User Temp%\_MEI{random}\bz2.pyd
• %User Temp%\_MEI{random}\ii.exe.manifest
• %User Temp%\_MEI{random}\msvcm90.dll
• %User Temp%\_MEI{random}\msvcp90.dll
• %User Temp%\_MEI{random}\msvcr90.dll
• %User Temp%\_MEI{random}\pyexpat.pyd
• %User Temp%\_MEI{random}\python27.dll
• %User Temp%\_MEI{random}\pywintypes27.dll
• %User Temp%\_MEI{random}\select.pyd
• %User Temp%\_MEI{random}\unicodedata.pyd
• %User Temp%\_MEI{random}\win32api.pyd
• %User Temp%\_MEI{random}\win32event.pyd
• %User Temp%\_MEI{random}\win32pipe.pyd
• %User Temp%\_MEI{random}\win32wnet.pyd
• %User Temp%\_MEI{random}\Include\pyconfig.h
• {current directory}\m2.ps1

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• wmic ntdomain get domainname
• net localgroup administrators
• net group "domain admins" /domain
• powershell.exe -exec bypass "import-module {current directory}\m2.ps1"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://ip.{BLOCKED}2.pl/raw
• http://info.{BLOCKED}y.com/e.png
• http://{BLOCKED}p.com
• http://{BLOCKED}.{BLOCKED}.130.126/ddd.exe

以下のスケジュールされたタスクを追加します：

• Task Name:{random characters}
  Task Executed: cmd.exe /c %Windows%\{random characters}.exe
  

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)