Trojan.JS.ICEDID.YXDFQZ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• If file is downloaded from URL1:
  • "%System%\rundll32.exe" %Application Data%\Microsoft\Windows\Templates\{6 Random Numbers}.dat,vcab /k snickers328
• If file is downloaded from URL2:
  • "%System%\WindowsPowerShell\v1.0\powershell.exe" rundll32 %Application Data%\Microsoft\Windows\Templates\{6 Random Numbers}.dat,vcab /k snickers328

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• URL1: https://www.{BLOCKED}austrija.at/images/out/lim.php
  If unsuccessful, will download from the following URL instead:
  • URL2: https://{BLOCKED}icavirtual.org/wp-content/out/lim.php
  
  
• URL1: https://{BLOCKED}o.us/wp-content/out/lim.php
  If unsuccessful, will download from the following URL instead:
  • URL2: https://{BLOCKED}b.net/wp-content/out/lim.php

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Application Data%\Microsoft\Windows\Templates\{6 Random Numbers}.dat

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下を実行します。

• It proceeds with its malicious routine if the following folder exists:
  • %ProgramData%\Microsoft\Windows
• It uses "PindOS" as User-Agent for the download request.

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )