Trojan.X97M.FORMULOAD.AM

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Public%\{Random number from 1-9999}.reg

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\reg.exe" EXPORT HKCU\Software\Microsoft\Office\12.0\Excel\Security %Public%\{Random number from 1-9999}.reg /y
• "%System%\rundll32.exe" %Public%\CVR{Random number from 1000-9999}.tmp.cvr,DllRegisterServer

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}a.com/wp-content/themes/calliope/wp-front.php
• http://{BLOCKED}rug.com/wp-content/themes/calliope/wp-front.php

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Public%\CVR{Random number from 1000-9999}.tmp.cvr

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

その他

マルウェアは、以下のメッセージボックスを表示します。

Displayed when download fails

マルウェアは、以下を実行します。

• The document contains the following message details luring users to enable macro content:
  
• The macro will trigger upon having a value of 247.12 by the equation:
  =FORMULA (2178/(GET.CELL(17,H80)+GET.CELL(19,H80)*DAY(NOW()),W86)

ただし、情報公開日現在、このWebサイトにはアクセスできません。