Trojan.W97M.EMOTET.JKDF

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードしたファイルを実行します。

マルウェアは、情報収集する機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• powershell -w hidden -enco {base-64 encoded}

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}mould.com/contactus_exported/eozs-mdw7rvw71i-8994/
• https://{BLOCKED}s.ie/lh/3p8lflb9zj-tpl2kti9-31/
• http://kitex.{BLOCKED}oup.net/cgi-bin/0fz82bv80-qdc4agro-21350/
• http://saras.{BLOCKED}oup.net/cgi-bin/jUQXDz/
• http://annaaluminium.{BLOCKED}oup.net/cgi-bin/ujMUbX/

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\459.exe → detected as TrojanSpy.Win32.EMOTET.THLBCAI

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、ダウンロードしたファイルを実行します。

情報漏えい

マルウェアは、情報収集する機能を備えていません。

その他

マルウェアは、脆弱性を利用した感染活動を行いません。

＜補足＞
ダウンロード活動

マルウェアは、ダウンロードしたファイルを以下のファイル名で保存します。このファイルは、TrojanSpy.Win32.EMOTET.THLBCAIとして検出されます。

• %User Profile%\459.exe