HackTool.Win32.AutoKMS.AUSXL

トレンドマイクロは、このプログラムをNoteworthy（要注意）に分類しました。

プログラムは、ワーム活動の機能を備えていません。

プログラムは、バックドア活動の機能を備えていません。

プログラムは、情報収集する機能を備えていません。

インストール

プログラムは、以下のファイルを作成します。

• %User Temp%\signtool.exe
• %User Temp%\slmgr.vbs

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

プログラムは、以下のプロセスを追加します。

• cmd.exe /c copy %System%\Tasks\KMSAuto %User Temp%\KMSAuto.tmp" /Y
• "%User Temp%\signtool.exe" verify /v /ph /sha1 648384a4dee53d4c1c87e10d67cc99307ccc9c98 "c:\_Tset\autokms.exe"
• wmic.exe path Win32_NetworkAdapter get ServiceName /value /FORMAT:List

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

感染活動

プログラムは、ワーム活動の機能を備えていません。

バックドア活動

プログラムは、バックドア活動の機能を備えていません。

ルートキット機能

プログラムは、ルートキット機能を備えていません。

情報漏えい

プログラムは、情報収集する機能を備えていません。

その他

プログラムは、以下を実行します。

• It displays the following GUI:
  
• It is capable of changing the OS edition of the machine.
• It is capable of activating the following software:
  • Windows Vista
  • Windows 7
  • Windows 8
  • Windows 8.1
  • Windows 10
  • Windows Server
  • Office 2010
  • Office 2013
  • Office 2016
  • Office 2019
• It uses the following address to setup software activation locally:
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.2:1688

プログラムは、脆弱性を利用した感染活動を行いません。

<補足>

プログラムは、以下を実行します。

• 以下のGUI（グラフィカルユーザインターフェイス）を表示します。
  
• 感染端末に搭載されたオペレーティングシステム（OS）のエディションを変更する機能を備えています。
• 以下のソフトウェアをアクティブ化する機能を備えています。
  • Windows Vista
  • Windows 7
  • Windows 8
  • Windows 8.1
  • Windows 10
  • Windows Server
  • Office 2010
  • Office 2013
  • Office 2016
  • Office 2019
• 以下のIPアドレスを使って、ローカル上でソフトウェアをアクティブ化するための設定を行います。
  • {BLOCKED}.{BLOCKED}.{BLOCKED}.2:1688