脅威インジケータ

このファイルは、16 ビットサブシステムを使用しています。マルウェアはこれを使用して、オペレーティングシステムの安全性が低く、十分に監視されていない部分に存在し、頻繁に特権昇格攻撃を実行します。

この PE は、記述された時期を偽っているようです。これは、正規のソフトウェアでは異例なことです。

この PE には、ファイルの通常の領域を超えて、追加のコンテンツが付加されています。付加されたデータは悪意のあるコードやデータを埋め込むために頻繁に使用され、保護システムから見落とされることが頻繁にあります。

AutoIT スクリプトがデバッグアクティビティを実行できます。

AutoIT スクリプトが多くの外部 DLL 呼び出しを使用しています。AutoIT ランタイムには、多数の一般的な機能が既にあるため、外部 DLL から追加の機能を使用することは、悪意があることの兆候である可能性があります。

AutoIT スクリプトが同期オブジェクトを作成しています。これは、同じターゲットの複数回の感染を防止するためにマルウェアによって使用されることがよくあります。

AutoIT スクリプトが、別のプロセスから来ているようなコードを実行するプロセスカービングを実行している可能性があります。これは、検出を妨害するために行われることがよくあります。

AutoIT スクリプトが、おそらく検出されずに留まったりデータを盗んだりするために、他のプロセスのコンテキストでコードを実行するプロセスインジェクションを実行している可能性があります。

AutoIT スクリプトが

Windows

レジストリに書き込んでいます。

このファイルは、アルファベットの Base64 エンコーディングを使用している証拠を含んでいます。マルウェアは、一般的な検出を回避することを試みたり、Base64 エンコーディングを使用している他のプログラムを攻撃したりしようとして、これを行います。

ファイルは、コマンドラインから引数を読み取るために使用できる関数をインポートします。マルウェアは、これを使用して、以後の実行に関する情報を収集します。

ファイルが、複数のフィルターを持つ複数のストリームを含んでいます。

ファイルが、難読化された名前を異常に多く含んでいます。

ファイルが、ファイルで宣言されている PDF 規格より新しいバージョンの EmbeddedFiles 機能を使用しています。

ファイルが、ファイルで宣言されている PDF 規格より新しいバージョンの FlateDecode 機能を使用しています。

ファイルが、ファイルで宣言されている PDF 規格より新しいバージョンの JBIG2Decode 機能を使用しています。

ファイルが、ファイルで宣言されている PDF 規格より新しいバージョンの

JavaScript

機能を使用しています。

ファイルが、ファイルで宣言されている PDF 規格より新しいバージョンの XFA 機能を使用しています。

ファイルが、ファイルで宣言されている PDF 規格より新しいバージョンの XObject 機能を使用しています。

ファイルが flash オブジェクトを含んでいます。

ファイルには埋め込み実行可能ファイルが含まれています。

ファイルが U3D オブジェクトを含んでいます。

ファイルが、おそらく検出を回避するために、無効または認識されないロケールを使用しています。

ファイルのメタデータが明らかに偽造であるか、破損しています。

ファイル構造が無効です。サイズ、メタデータ、または内部セクター割り当てテーブルが間違っています。これは、エクスプロイトを示している可能性があります。

このファイルは、マニフェスト内の不整合を示しています。マルウェアは、検出を回避するためにこれを行いますが、追跡を深く隠すことはまれです。

この PE は、非自明なエントリポイントを持つ DLL です。これは DLL 間では一般的ですが、悪意のある DLL がそのエントリポイントを利用してプロセス内に入り込む可能性があります。

ファイル内のいくつかの文字列が、途中に null 文字を含んでいます。

ファイルが、配列内に null 値を異常に多く含んでいます。

ファイルが、異常に多くの異種類の要素を含む配列を含んでいます。

ファイルが、異常に多くのメールリンク（mailto:）を含んでいます。

ファイルのページオブジェクトの構造が異常です。ノードごとに多数の子ページオブジェクトがあります。

ファイルが、長いエンコード文字列を使用してコンテンツを難読化しようとしている可能性があります。

ファイルが、異常に大きな最小長のエスケープされた名前を含んでいます。

ファイルが、コンテンツの多くをエンコード文字列に格納することでコンテンツを難読化しようとしている可能性があります。

ファイルが、大文字の 16 進数値でエスケープされた名前を異常に多く含んでいます。

ファイルが、異常に多くの有効でエスケープされた名前を含んでいます。

ファイルが、異常に大きな最大数のエスケープされた文字（1 つの名前あたり）を含んでいます。

ファイルが、異常に多くの不必要にエスケープされた名前を含んでいます。

ファイルが、10 進数表現の 8 で始まる数値を異常に多く含んでいます。

ファイルが、明示的なプラス記号付きの数値を異常に多く含んでいます。

ファイルが、異常に大きな最大長の実数を含んでいます。

ファイルが、異常に多くの子ページオブジェクトを含んでいます。

ファイルが、異常に多くのページオブジェクトを含んでいます。

ファイルが、異常に長い「ファイルの最後」シーケンスを含んでいます。

ファイルが、小文字の 16 進数桁でエスケープされた文字列を異常に多く含んでいます。

ファイルが、異常に大きな最大長のリテラル文字列を含んでいます。

ファイルが、文字列内で 8 進数エスケープされた文字を異常に多く含んでおり、文字列が不必要にゼロパディングされています。

ファイルが、トレーラーオブジェクト間に異常に大きいスプレッドを含んでいます。

ファイルが、異常に大きな最大長のコメントを含んでいます。

ファイルが、リーダーソフトウェアによって使用されていない、異常に短いコメントを含んでいます。

ファイルが、異常に大量のコメントアウトされたデータを含んでいます。

ファイルが、異常に多くの短い行末文字を含んでいます。

ファイルが、空白として使用される 0 バイトを異常に多く含んでいます。

ファイルが、空白として使用される 09 バイトを異常に多く含んでいます。

ファイルが、異常に長い空白領域を含んでいます。

ファイルが、異常に大量の空白を含んでいます。

ファイルが、異常に多くの U3D オブジェクトを含んでいます。

このファイルは、標準的な

Windows

バッチファイルを持っている証拠を含んでいます。マルウェアは、一般的なスキャン技術を回避し、永続性を可能にするためにこれを行います。

このファイルは、Dinkumware の一部のコンポーネントを含む証拠を示しています。Dinkumware は、さまざまなマルウェアコンポーネントで頻繁に使用されています。

ファイルが、疑わしい OOXML プロパティを含んでいます。

このファイルは、プログラム内で例外を発生させるために使用する関数をインポートします。マルウェアは、標準的な動的コード分析をたどるのを困難にする戦術を実装するために、これを行います。

ファイルが、予約されたフィールドの使用に関する指定に違反しています。

このファイルは、リソースセクションに異常を含んでいます。マルウェアは、DLL のリソースセクションに不正なビットや他の変則的なビットを含んでいることが頻繁にあります。

この PE は、修正可能なコードを含んでいる可能性があります。これは、最善の場合でも非正統的、最悪の場合にはウイルス感染の症状を示すものです。この特徴は、ファイルが標準以外のコンパイラを使用してビルドされたか、最初にビルドされた後に変更されたことを意味することがあります。

ファイルが、OLE セクター割り当ての構造的な異常を含んでいます。

文字列テーブル内の文字列への参照のいずれかが、負のオフセットを指していました。

文字列テーブルが null バイトで終了しませんでした。これにより、実行時に、終了しない文字列による障害が発生する可能性があります。

文字列テーブル内の文字列への参照のいずれかが、ファイルの最後より後の位置を指していました。

この PE は「PDATA」領域に何かを隠していますが、何であるかが不明です。PE ファイルの pdata 領域は一般的に、ランタイム構造の処理に使用されますが、この特定のファイルには他のものが含まれています。

この PE は「relocations」領域に何かを隠していますが、何であるかが不明です。PE ファイルの relocations 領域は一般的に、特定のシンボルの再配置に使用されますが、この特定のファイルには他のものが含まれています。

ファイルが、悪に関連付けられている OLE ディレクトリ名です。

ファイルに、OLE ディレクトリ構造の異常があります。

ファイルが、OLE の疑わしい埋め込みを使用しています。

ファイルが、疑わしい VBA コードを含んでいます。

ファイルが、疑わしい VBA ライブラリ使用を示しています。

ファイルが、VBA 構造に関連付けられた疑わしい名前を含んでいます。

ファイルが、疑わしい VBA バージョンを含んでいます。

ファイルが、埋め込まれた SWF の特定の疑わしい使用状況を含んでいます。

ファイルの形式が非常に不正なため、完全には解析できませんでした。

このファイルには、バージョン情報の表示方法に関する問題があります。マルウェアには、検出を回避するためにこれがあります。

このファイルは、ブラウザーキャッシュに保存されているパスワードを読み取る意図の証拠を含んでいます。マルウェアは、これを使用して窃盗のためにパスワードを収集します。

このファイルは、資格情報プロバイダーとのやり取り、または資格情報プロバイダーのように見せようとする証拠を含んでいます。マルウェアがこれを行うのは、資格情報プロバイダーはユーザー名やパスワードといった多種類の機密データにアクセスできるため、資格情報プロバイダーとして機能することで認証の整合性を妨害できる可能性があるからです。

このファイルは、現在ログインしているユーザーに関する情報を収集するために使用される関数をインポートします。マルウェアは、これを使用して特権の昇格経路を特定し、攻撃をより適切に調整します。

このファイルは、デバッグ文字列の出力に使用される関数をインポートします。通常、これは、本番ソフトウェアでは無効になっていますが、テスト中のマルウェアではオンのままになっています。

このファイルは、システム上のボリュームの詳細を収集するために使用できる関数をインポートします。マルウェアは、これを一覧表示と組み合わせて使用して、将来の攻撃に備えてボリュームに関する事実を特定します。

このファイルは、ファイルの一覧表示に使用される関数をインポートします。マルウェアは、これを使用して機密データを探したり、さらなる攻撃ポイントを見つけたりします。

このファイルは、実行中のプロセスが使用するすべての DLL を一覧表示するために使用できる関数をインポートします。マルウェアは、この機能を使用して、プロセス内にロードする特定のライブラリを見つけてターゲットにし、注入しようとするプロセスをマップします。

このファイルは、接続されたネットワークとネットワークアダプタを数え上げる機能の証拠を示しています。マルウェアは、ターゲットシステムが他のシステムに対してある位置を特定し、考えられる横方向のパスを探すためにこれを行います。

このファイルは、システム上で実行中のすべてのプロセスを一覧表示するために使用できる関数をインポートします。マルウェアは、この機能を使用して、注入するプロセスまたは削除しようとするプロセスを特定します。

このファイルは、システム上のボリュームを一覧表示するために使用できる関数をインポートします。マルウェアは、これを使用して、データを検索したり感染を広げたりするのに必要な可能性がある領域をすべて見つけます。

このファイルは、Gina へのアクセスに使用される関数をインポートします。マルウェアは、安全な Ctrl-Alt-Del パスワード入力システムまたはその他のネットワークログイン機能に違反しようとして、これを行います。

このファイルは、ネットワーク上のホスト名とマシン自体のホスト名に関する情報を収集するために使用できる関数をインポートします。マルウェアは、この機能を使用して、さらなる攻撃の標的の精度を上げたり、スキャンして新しい標的を探したりします。

このファイルは、キーボードからキーストロークをキャプチャして記録できる関数をインポートします。マルウェアは、これを使用してキーストロークをキャプチャして保存し、パスワードなどの機密情報を見つけます。

このファイルは、現在のオペレーティングシステムに関する情報を収集するために使用される関数をインポートします。マルウェアは、これを使用して、さらなる攻撃をより適切に調整する方法を特定し、情報をコントローラーに報告します。

ファイルには、キーロガータイプのアクティビティの証拠が含まれています。マルウェアは、キーロガーを使用してキーボードから機密情報を収集します。

このファイルは、一般的なパスワードを含む証拠があるか、一般的なパスワードの総当たり攻撃を有効にする構造を持っています。マルウェアは、これを使用して、パスワードを介して他のリソースにアクセスすることでネットワークへの侵入を試みます。

このファイルは、プロセッサの詳細を特定するために使用できる関数をインポートします。マルウェアは、これを使用して攻撃を調整し、このデータを共通のコマンド&コントロールインフラストラクチャに流出させます。

このファイルは、リモートデスクトッププロトコル（RDP）とのやり取りの証拠を示します。マルウェアは、これを使用して横展開し、直接的なコマンド&コントロール機能を提供することが頻繁にあります。

このファイルは、アクセシビリティ API の使用を介してクリップボードまたはユーザーアクションを監視している可能性があります。

このファイルは、システムディレクトリの特定に使用される関数をインポートします。マルウェアは、これを行って、インストールされているシステムバイナリの多くがある場所を見つけます。システムディレクトリは、システムバイナリの中に隠れていることが多いためです。

このファイルは、現在ログインしているユーザーの環境に関する情報を収集するために使用される関数をインポートします。マルウェアは、これを使用して、ログインしたユーザーの詳細を特定し、環境変数から収集できる他のインテリジェンスを探します。

このファイルは、非標準的なネットワークを実装しています。マルウェアはこれを行って、より一般的なネットワークアプローチの検出を回避します。

ブラウザプラグインを列挙またはインストールする機能がファイルにあります。

このファイルには、カスタムUserAgent文字列を作成しようとしている証拠が含まれています。マルウェアは、一般的な UserAgent 文字列を使用して、送信される要求での検出を回避することが頻繁にあります。

このファイルは、ファイルをシステムにダウンロードするために使用できる関数をインポートします。マルウェアは、これをさらに攻撃を企てる手段としても、送信 URL を介してデータを流出させるための手段としても使用します。

このファイルは、ローカル

Windows

ファイアウォールの変更に使用される関数をインポートします。マルウェアは、これを使用して穴を開け、検出を回避します。

このファイルは、他のカスタム HTTP ヘッダーの作成の証拠を含んでいます。マルウェアは、コマンド&コントロールインフラストラクチャとのやり取りを促進し、検出を回避するためにこれを行います。

このファイルは、IRC サーバーとのやり取りの証拠を含んでいます。マルウェアは一般的に、IRC を使用してコマンド&コントロールインフラストラクチャを促進します。

このファイルは、実行中のプロセスからメモリを読み取るために使用できる関数をインポートします。マルウェアは、これを使用して、自身を注入する適切な場所を決定したり、実行中のプロセスのメモリからパスワード、クレジットカード、その他の機密情報などの有用な情報を抽出したりします。

このファイルは、データをローカルネットワークまたは一般のインターネットに送信するために使用できる機能をインポートします。マルウェアは、データの窃盗またはコマンド&コントロールの手段としてこれを使用します。

このファイルは、名前付きパイプの操作を可能にする関数をインポートします。マルウェアは、通信およびデータ窃盗の手段としてこれを使用します。

このファイルは、リモートプロシージャコール（RPC）インフラストラクチャとの通信を可能にする関数をインポートします。マルウェアは、これを使用して広がったり、データをリモートシステムに送信して流出させたりします。

ファイルが、悪意のある隠れたペイロードの可能性がある、難読化された追加の PE ヘッダーを含んでいます。

ファイルが、kernel32.dll（悪意のあるペイロードによって使用される可能性があるライブラリ）への、難読化された追加の参照を含んでいます。

ファイルが、mscoree.dll（悪意のあるペイロードによって使用される可能性があるライブラリ）への、難読化された追加の参照を含んでいます。

ファイルが、msvbvm（

Microsoft Visual Basic

6 用にコンパイルされた、悪意のあるペイロードによって使用される可能性があるライブラリ）への、難読化された追加の参照を含んでいます。

このファイルは、プロセスが仮想マシンで実行されているかどうかを特定するために使用できる機能を示しています。マルウェアは、一般的になりつつある仮想化されたサンドボックスでの実行を回避するためにこれを行います。

AutoIT スクリプトがファイルをダウンロードし、実行できます。これは、悪意のある追加ペイロードを配信するために行われることがよくあります。

AutoIT スクリプトが、文字列連結で難読化されている可能性があります。これは、（全体的に）疑わしいコマンドの検出を回避するために行われることがよくあります。

AutoIT スクリプトが CallWindowProc()

Windows

API 関数を使用していますが、これはシェルコードの注入を示している可能性があります。

AutoIT スクリプトが、スクリプトとともに保存されているリソースデータを使用しています。マルウェアは多くの場合、重要な部分をリソースデータとして保存し、実行時に展開します。したがって、これは疑わしいように見えます。

このファイルは、CAB ファイルを含んでいる証拠を示しています。マルウェアは、多くの検出システムが認識できないような方法で機密性の高いコンポーネントをパッケージ化するためにこれを行います。

ファイルが、kernel32.dll（悪意のあるペイロードによって使用される可能性があるライブラリ）への参照を含んでいます。

ファイルが、mscoree.dll（悪意のあるペイロードによって使用される可能性があるライブラリ）への参照を含んでいます。

ファイルが、msvbvm.dll（

Microsoft Visual Basic

6 用にコンパイルされた、悪意のあるペイロードによって使用される可能性があるライブラリ）への参照を含んでいます。

ファイルが、誤った PDF バージョンを宣言しています。

ファイルが、リテラル文字列に隠された

JavaScript

コードを含んでいる可能性があります。

このファイルには、オブジェクト内に埋め込まれたドキュメントが含まれています。マルウェアはこれを使用して、攻撃を複数のソースに分散したり、実際の形を隠したりできます。

このファイルは、埋め込まれた暗号化キーを持っている証拠を含んでいます。マルウェアは、検出を回避するために、そしておそらくはリモートサービス認証としてこれを行います。

このファイルは、デバッガのように動作できるようにする関数をインポートします。マルウェアは、この機能を使用して他のプロセスから読み書きします。

この PE 内には追加の PE があります。これは通常、ソフトウェアインストールプログラムでのみ見られます。マルウェアは、まず PE ファイルを埋め込んでから、ディスクにドロップして PE を実行することが頻繁にあります。この手法は多くの場合、基礎になっているスキャン技術が理解できない形式でバイナリをパッケージ化して保護スキャナを回避するために使用されます。

PE が、悪意のある隠れたペイロードに属している可能性がある難読化された PE DOS スタブを含んでいます。

PE が、悪意のある隠れたペイロードに属している可能性がある難読化された PE DOS スタブを含んでいます。

この PE 内には、追加の PE が隠されています。これは非常に疑わしい行動です。EmbeddedPE インジケータと似ていますが、エンコーディング方式を使用して、オブジェクト内のバイナリをさらに隠そうとしています。

この PE は、一般的なメソッドを使用して DLL を実行する機能の証拠を含んでいます。マルウェアは、一般的な検出方法を回避するための手段としてこれを行います。

この PE は、

Microsoft

によって記述されたと主張していますが、

Microsoft

PE のようには見えません。マルウェアは一般的に、

Microsoft

PE になりすまそうとします。目立たないように見えるためです。

ファイルの内部に別の MachO 実行可能ファイルがあります。これは、適切に宣言されていません。これは、ペイロードが容易に検出されないように隠す試みである可能性があります。

このファイルは、ブラウザー UserAgent の操作の証拠を含んでいます。マルウェアは、コマンド&コントロールとのやり取りを促進し、検出を回避するためにこれを行います。

PE が、他のプロセスにコードを注入できます。この機能は多くの場合、プロセスが何らかの形で欺瞞を試みているか、敵意を持っていることを意味します。

この PE は、見えない状態で実行されるようですが、バックグラウンドサービスではありません。隠れたままになるように設計されている可能性があります。

ドキュメントが、異常に疑わしい

JavaScript

を含んでいます。

このファイルは、コア

Windows

証明書ストアとのやり取りの証拠を示しています。マルウェアは、資格情報を収集し、不正な鍵をストリームに挿入して、中間者攻撃などのことを促進するためにこれを行います。

ファイルが、コア

Windows

暗号化ライブラリを使用する関数をインポートします。マルウェアは、独自の暗号化を持ち歩かずに済むように、これを使用して、ローカルにインストールされた暗号化を活用します。

ファイルが、「../」など相対パスを使用してパストラバーサルを試みる可能性があります。

ファイルが、難読化された

JavaScript

を含んでいる可能性があるか、eval() で動的にロードされた

JavaScript

を実行できます。

ファイルが、難読化された

JavaScript

を含んでいる可能性があります。

ファイルが、異常に多くの個別

JavaScript

スクリプトを含んでいます。

ファイルが、異常に多くの

JavaScript

関連のストリームを含んでいます。

ファイルが、異常に多くの

JavaScript

トークンを含んでいます。

ファイルが、異常に多くの

JavaScript

トークンを含んでいます。

ファイルが、異常に多くの疑わしい名前を含んでいます。

ファイルが、難読化された名前を異常に多く含んでいます。

ファイルが埋め込み PE ファイルを含んでいます。

ファイルが、異常なバージョン番号を持つ SWF オブジェクトを含んでいます。

ファイルが、異常な圧縮パラメーターを持つ SWF オブジェクトを含んでいます。

ファイルが、異常な圧縮フラグパラメーターを持つ SWF オブジェクトを含んでいます。

ファイルが DOS スタブ（PE ファイルを含むことを示しています）を含んでいます。

ファイルが DOS スタブ（PE ファイルを含むことを示しています）を含んでいます。

ファイルが、ファイル構造に属していない PE ファイルヘッダーデータを含んでいます。

ファイルが、ファイル構造に属していない PE ファイルを含んでいます。

ファイルが、ファイル構造に属していない PE ファイルを含んでいます。

このファイルは、一般的な保護システムを探しているようです。マルウェアは、システムにインストールされている保護システムに合わせた反保護対策を開始するためにこれを行います。

セグメントに名前として無効な文字列があるか、標準的ではない異常な名前があります。これは、コンパイル後の改ざんか、packer や難読化ツールの使用を示している可能性があります。

セグメントサイズが、内部のコンテンツ（セクション）の合計サイズと大きく異なります。これは、参照されていない領域の使用、または悪意のあるコードを実行時に展開するための領域の予約を示している可能性があります。

このファイルは自己解凍型アーカイブのようです。マルウェアは、この戦術を使用して真の意図を難読化することが頻繁にあります。

このファイルはサービス DLL のようです。サービス DLL は svchost.exe プロセスでロードされるため、マルウェアの一般的な永続手法です。

ファイルが、疑わしい JS トークンを含んでいます。

ファイルが、ドキュメント構造に属していない Shockwave flash オブジェクトを含んでいます。

このファイルは、一時ファイルにアクセスし、一時ファイルを操作するために使用される関数をインポートします。一時ファイルは検出を回避できる傾向があるため、マルウェアはこれを行います。

このファイルには、圧縮されているように見えるコード部分があります。マルウェアは、この手法を使用して検出を回避します。

このファイルは、実行中のプロセスからメモリを変更するために使用される関数をインポートします。マルウェアはこれを使用して、実行中のプロセスに自身を注入します。

ファイルが、悪意のある隠れたペイロードの可能性がある、xor で難読化された PE ヘッダーを含んでいます。

ファイルが、kernel32.dll（悪意のあるペイロードによって使用される可能性があるライブラリ）への、xor で難読化された参照を含んでいます。

ファイルが、mscoree.dll（悪意のあるペイロードによって使用される可能性があるライブラリ）への、xor で難読化された参照を含んでいます。

ファイルが、msvbvm.dll（

Microsoft Visual Basic

6 用にコンパイルされた、悪意のあるペイロードによって使用される可能性があるライブラリ）への、xor で難読化された参照を含んでいます。

ドキュメント内の VBA スクリプトが、ファイルにバイトを書き込んでいる可能性があります。これは、正規のドキュメントでは異常な動作です。

ファイル内の VBA スクリプトが、16 進数から 2 進数への変換を使用していると思われます。これは、悪意のある隠れたペイロードのデコードを示している可能性があります。

ファイルが、ファイル構造に属していないリンクを含んでいます。

ファイルが、疑わしいデータをファイル構造外に含んでいます。これは、エクスプロイトを示している可能性があります。

ファイルが、ファイル構造に属していないマクロスクリプトを含んでいます。

ファイルが、ファイル構造に属していない nop スレッドを含んでいます。これはほぼ確実に、エクスプロイテーションを促進する目的で存在します。

ファイルが、永続性の一般的な手法（起動スクリプトなど）とのやり取りを試みます。マルウェアは一般的に、永続性を実現するためにこの戦術を使用します。

シェルコマンドを介してプロセスを強制終了したり、マシンをシャットダウンしたりする機能がファイルにあります。

この PE は、ファイルまたはディレクトリを削除するために使用できる関数をインポートします。マルウェアは、これを使用してシステムを破壊し、痕跡を隠します。

ファイルが、ヒープスプレーコードを含んでいる可能性があります。

このファイルは、一般的なツールをポリシーごとにロックアウトしようとしている証拠を示しています。マルウェアは、永続性を維持し、検出とクリーンアップをより困難にするためにこれを行います。

このファイルは、

Windows

レジストリを操作するために使用できる関数をインポートします。マルウェアは、永続性を実現し、検出を回避するなど、多くの理由でこれを行います。

この PE は、アクセスが許可されていないファイルの読み取りを試みる可能性があります。SeBackup 権限では、アクセス制御に関わりなくファイルにアクセスできます。この権限は、バックアップを処理するプログラムによって頻繁に使用され、多くの場合は管理ユーザーに限定されています。ただし、他の方法では難しい特定の要素へのアクセスを得るために悪意を持って利用される可能性もあります。

この PE は、システムプロセスの改ざんを試みる可能性があります。SeDebug 権限は、自分のプロセス以外のプロセスにアクセスするために使用され、多くの場合は管理ユーザーに限定されています。この権限は、他のプロセスへの読み書きと組み合わされることがよくあります。

この PE は、アクセスが許可されていないファイルの変更または削除を試みる可能性があります。SeRestore 特権では、アクセス制御を考慮せずに書き込むことができます。

このファイルは、現在のシステムで

Windows

サービスを制御できる関数をインポートします。マルウェアは、これを使用して、自身をサービスとしてインストールすることによりバックグラウンドで起動したり、保護機能が存在する可能性のある他のサービスを無効にしたりします。

ファイルが、変更されていないバージョンの skylined ヒープスプレーコードを含んでいます。

この PE は、別のプロセスを生成するために使用できる関数をインポートします。マルウェアはこれを使用して、感染の次の段階(通常はインターネットからダウンロード)を開始します。

ファイルが、エクスプロイテーションを行えると思われる

JavaScript

コードを含んでいます。

ファイルが

JavaScript

難読化トークンを含んでいます。

このファイルは、実行中のプロセスを停止するために使用できる関数をインポートします。マルウェアはこれを使用して、保護システムを削除したり、実行中のシステムに損害を与えたりします。

ファイル内の VBA スクリプトが、ファイルを閉じるときに自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、ファイルを閉じるときに自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、ファイルを閉じるときに自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、新しいドキュメントが作成されるときに自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、ファイルが開かれたらすぐに実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、ファイルが開かれたらすぐに実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、ファイルが閉じる直前に自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、ファイルが変更されるときに自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、ファイルを閉じるときに自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、新しいファイルが作成されるときに自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、ファイルが開かれたらすぐに実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、ファイルが開かれたらすぐに実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、新しいファイルが作成されるときに自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、

Microsoft Excel

ブックを閉じるときに自動的に実行されようとしている可能性があります。

ファイル内の VBA スクリプトが、

Microsoft Excel

ブックを開くときに自動的に実行されようとしている可能性があります。

このファイルは、ローカルシステムのユーザーを変更するために使用できる関数をインポートします。鍵ユーザーの詳細を追加、削除、または変更できます。マルウェアはこの機能を使用して、永続性を実現したり、ローカルシステムに害を与えたりする可能性があります。

このファイルは、実行中のプロセスでメモリを作成するために使用される関数をインポートします。マルウェアは、実行中のプロセスに自身を注入するためにこれを行います。

ファイルが、メモリにロードされているライブラリ API を密かに見つけようとするシェルコードのように見えるバイトシーケンスを含んでいます。

ファイルが、Blackhole exploit kit からのものであるように見えます。

ファイルが、ブラウザーに特定のアドレスへの移動やアクションの実行を強制できる可能性があります。

PDF ヘッダーがゼロ以外のオフセットに配置されています。これは、このファイルが PDF ドキュメントとして認識されないようにしようとする試みを示している可能性があります。

ファイルが、エクスプロイテーションを促進する nop スレッドを含む、巧みに作成された TIFF 画像を含んでいる可能性があります。

ファイルが、XML データパッケージ（XDP）として別の PDF を含んでいる可能性があります。

ファイルが、メモリ内の kernel32.dll を見つけようとするシェルコードのように見えるバイトシーケンスを含んでいます。

ファイルが、メモリ内の kernel32.dll を見つけようとするシェルコードのように見えるバイトシーケンスを含んでいます。

ファイルが、メモリ内の kernel32.dll を見つけようとするシェルコードのように見えるバイトシーケンスを含んでいます。

ファイルが、典型的な関数プロローグ（シェルコードを含んでいる可能性が高い）であるバイトシーケンスを含んでいます。

ファイルが、メモリ内の他のものを見つけてエクスプロイテーションを促進するために自身のアドレスを解決するシェルコードのように見える、バイトシーケンスを含んでいます。

ファイルが、メモリ内の他のものを見つけてエクスプロイテーションを促進するために自身のアドレスを解決するシェルコードのように見える、バイトシーケンスを含んでいます。

ファイルが、間接的な関数呼び出し（シェルコードの可能性が高い）のように見えるバイトシーケンスを含んでいます。

ファイルが、間接的な関数呼び出し（シェルコードの可能性が高い）のように見えるバイトシーケンスを含んでいます。

ファイルが、間接的な関数呼び出し（シェルコードの可能性が高い）のように見えるバイトシーケンスを含んでいます。

ファイルが、構造化例外処理（SEH）に典型的なバイトシーケンスを含んでおり、シェルコードを含んでいる可能性が高いです。

ファイルが、ブラウザーに特定のアドレスへの移動やアクションの実行を強制できる可能性があります。

ファイルが、シェルアクションを実行できる可能性があります。

ファイルが、エクスプロイトを含んでいる可能性があります。

AutoIT スクリプトが、ファイルに対して複数のアクションを実行できます。これは、情報収集、永続姓、または破壊に使用される場合があります。

自動実行メカニズムを使用して永続性を実現する機能がファイルにあります。

このファイルは、実行中のシステムのコードページ（場所）を検索するために使用される関数をインポートします。マルウェアはこれを使用して、特定のグループをより適切にターゲット設定するために、システムが実行されている国/地域を識別します。

このファイルは、ミューテックスオブジェクトを作成および操作する関数をインポートします。マルウェアは頻繁にミューテックスを使用して、システムへの複数回の感染を回避します。

このファイルは、検出されないようにコンパイルされた

OpenSSL

のバージョンを含んでいます。マルウェアは、強力な証拠を残さずに暗号化保存機能を含めるためにこれを行います。

オペレーティングシステムによって使用されるプロパティリストとやり取りする機能がファイルにあります。これは、永続性を実現したり、さまざまなプロセスを妨害したりするために使用される場合があります。

このファイルは、CryptBaseを使用して権限の昇格を使用しようとした証拠を示しています。マルウェアはこれを使用して、影響を受けるシステムでの権限を強くします。

偵察、特権の昇格、またはデータ破壊に機密性の高いシェルコマンドを使用する機能がファイルにあります。

システムおよび他のプロセスを監視および/または制御し、デバッグのようなアクションを実行する機能がファイルにあります。