Trojan.Win64.CRYPTINJECT.AH

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• cmd.exe /C ping 1.1.1.1 -n 1 -w 3000 > Nul & Del /f /q "{malware filepath}\{malware filename" → deletes malware after connection timeout
• cmd.exe /C ping 1.1.1.1 -n 1 -w 3000 > Nul & Del /f /q "%Program Data%\pentera_temp" → deletes created folder after connection timeout

マルウェアは、以下のフォルダを作成します。

• %Program Data%\pentera_temp → stores downloaded shell code

情報漏えい

マルウェアは、以下の情報を収集します。

• Username
• Hostname

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {IP address}

マルウェアは、以下を実行します。

• It looks for the file \?\C:\Users\All Users\pentera_temp\data.bin(encrypted shellcode) through the provided IP address in the parameter.
• It receives an encrypted shell code from a remote server through the provided IP address in the parameter.
• It injects a shell code to a specified process ID.
• It logs all of its activity through a console.
  

マルウェアは、以下のパラメータを受け取ります。

• {malware filepath}\{malware filename} {IP address}