• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.W97M.EMOTET.TIOIBEMY

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: はい
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• cmd cmd cmd cmd /c msg %username% /v Word experienced an error trying to open the file. & P^Ow^er^she^L^L -w hidden -ENCOD {Base64 encoded string}

マルウェアは、以下のフォルダを作成します。

• %User Profile%\Nsghoht\Gbh5r9o

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、ファイルをダウンロードします。

• http://{BLOCKED}omoving.com/p/RuMeRPa
• http://{BLOCKED}u.com/wp-admin/eYu1Q
• http://{BLOCKED}setme.com/wp-content/pmJ
• https://{BLOCKED}uter.com/content/TL
• https://{BLOCKED}m.com/wp-admin/JSLwG1
• http://{BLOCKED}krah.com/wp-admin/fOIlVX
• https://{BLOCKED}ency.com/wp-admin/mXo4b/

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Profile%\Nsghoht\Gbh5r9o\Q27V.dll -> if site is accessible

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下を実行します。

• If file is successfully downloaded, it creates the following process:
  • rundll32 %User Profile%\Nsghoht\Gbh5r9o\Q27V.dll, Control_RunDLL
• The document contains the following message details luring users to enable macro content:
  
• It shows the following fake error message upon enabling macro content:
  

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください