Trojan.LNK.EMOTET.YJCFP

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%System%\WindowsPowerShell\v1.0\powershell.exe" -c "&{'njuWH8symfwaiDp9KACI2Cn4/L/o8VH7LXBiB0LRNWDaVxVfxVMJb1Su4sHjB8y7naMJwED1';$HRfF='{Base64 encoded command}';$RFnG='{Base64 encoded command}';$ryVIql=$HRfF+$RFnG;$zDDWaH=[System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String($ryVIql));$ryVIql=$zDDWaH;iex($ryVIql)}";
• "%System%\regsvr32.exe" %AppDataLocal\TQQwncTdK\EJjuTpwiYA.PHB

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、以下のフォルダを作成します。

• %AppDataLocal%\TQQwncTdK

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://www.{BLOCKED}pconsult.com/images/PEx/
• http://{BLOCKED}f.nl/cgi-bin/t/
• http://wp.{BLOCKED}z.net/bayar1/9ZAAO/
• http://www.{BLOCKED}c.it/wp-content/SgCbrIRyUwb9kjEKe3J/
• http://{BLOCKED}anpettiti.com.ar/almahu.com.ar/ADOYs/
• http://{BLOCKED}r.com/wp/U/