Trojan.XF.HIDDBOOK.H

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• %Public%\Z5NSU.reg -> contains exported registry from infected machine

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

マルウェアは、以下のプロセスを追加します。

• "%System%\rundll32.exe" %Public%\SPJVt.html,DllRegisterServer
• "%System%\reg.exe" EXPORT HKCU\Software\Microsoft\Office\{Excel Version}\Excel\Security %Public%\Z5NSU.reg /y

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}aseb.com/wp-content/uploads/2020/05/wp-front.php
• https://{BLOCKED}k.com/wp-content/uploads/2020/05/wp-front.php

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Public%\SPJVt.html

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• https://docs.microsoft.com/en-us/officeupdates/office-msi-non-security-updates

マルウェアは、以下を実行します。

• It shows the following to lure users to enable macro content: