Trojan.JS.ENVARSTAGE.A

このトロイの木馬型マルウェアは、他のマルウェアによってドロップされたファイルとして、また感染のあるコイトにアクセスしたユーザーが意図せォダウン\u30L3ロードしたファイルとしてシステムに展開されます

感染経路

このトロイの木馬型マルウェアは、他のマルウェアによってドロップされたファイルとして、または信頼のあるサイトを閲覧した際にユーザーがダウンロードしたファイルとしてシステムに侵入します。

インストール

このトロイの木馬型マルウェアは、以下のフォルダを追加します:

• %AppDataLocal%\Microsoft\Windows\v1286

(注意: %AppDataLocal% は Local Application Data フォルダであり、通常は Windows 2000(32ビット)、XP、または Server 2003(32ビット) では C:\Documents and Settings\{user name}\Local Settings\Application Data、Windows Vista, 7, 8, 8.1, 2008(64ビット), 2012(64ビット) または 10(64ビット) では C:\Users\{user name}\AppData\Local です。)

このマルウェアは、感染したシステムに自身のコピーを以下にドロップします:

• %AppDataLocal%\Microsoft\Windows\v1286\v9057.js

(注意: %AppDataLocal% は Local Application Data フォルダであり、通常は Windows 2000(32ビット)、XP、または Server 2003(32ビット) では C:\Documents and Settings\{user name}\Local Settings\Application Data、Windows Vista, 7, 8, 8.1, 2008(64ビット), 2012(64ビット) または 10(64ビット) では C:\Users\{user name}\AppData\Local です。)

以下のプロセスを追加します:

• forfiles.exe /p %System% /m charmap.exe /c "cmd /v:on /d /c echo !NQ14LveaZqoIoLc!|powershell.exe -w h -nop -NoNi -"
• cmd /v:on /d /c echo !NQ14LveaZqoIoLc!|powershell.exe -w h -nop -NoNi -
• powershell.exe -w h -nop -NoNi -

(注意: %System% は Windows システムフォルダであり、多くの Windows オペレーティングシステムでは通常 C:\Windows\System32 です。)

自動起動の手法

このトロイの木馬型マルウェアは、システム起動時に自動的に実行されるよう、以下のレジストリキーを追加します:

HKEY_CURRENT_USER\Environment
UserInitMprLogonScript = "%System%\wscript.exe" "%AppDataLocal%\Microsoft\Windows\v1286\v9057.js"

その他のシステム変更

このトロイの木馬型マルウェアは、以下のレジストリエントリを変更します:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Windows
Load = "%AppDataLocal%\Microsoft\Windows\v4836\v6905.{extension}" → ダウンロードしたファイルの自動実行を有効にする

ダウンローダー

このトロイの木馬型マルウェアは、コンポーネントファイルをダウンロードするために以下の URL に接続します:

• https://{BLOCKED}octorindia.com/bin.exe

通常ダウンロードされたコンポーネントファイルは以下の場所にドロップされ、そのコピーは隠しファイルとして設定されます:

• %AppDataLocal%\Microsoft\Windows\v4836\v6905.{拡張子}

(注意: %AppDataLocal% は Local Application Data フォルダであり、通常は Windows 2000(32ビット)、XP、または Server 2003(32ビット) では C:\Documents and Settings\{user name}\Local Settings\Application Data、Windows Vista, 7, 8, 8.1, 2008(64ビット), 2012(64ビット) または 10(64ビット) では C:\Users\{user name}\AppData\Local です。)