HackTool.Win32.MIMIKATZ.SMGD
Windows
マルウェアタイプ:
ハッキングツール
破壊活動の有無:
なし
暗号化:
はい
感染報告の有無 :
はい
概要
プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 プログラムは、他のマルウェアに作成され、コンピュータに侵入します。
詳細
侵入方法
プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
プログラムは、以下のマルウェアに作成され、コンピュータに侵入します。
その他
プログラムは、以下を実行します。
- It has the following modules with different capabilities:
- standard - contains common commands to operate the tool such as exit, cls, cd
- privilege - used to manipulate privilege/rights
- crypto - uses CryptoAPI functions which has the capability to list and export certificates
- sekurlsa - has the capability to extract Windows passwords, keys, pin codes, tickets
- kerberos - uses Microsoft Kerberos API which has the capability to manipulate Kerberos tickets
- lsadump - has the capability to dump Windows credentials
- vault - used to manipulate vault credentials
- token - used to manipulate Windows authentication tokens
- event - used to clear/drop event logs
- ts - contains remote desktop capabilities
- process - used to manipulate processes
- service - used to manipulate services
- net - used to display information about Windows users
- misc - contains miscellaneous commands such as open cmd, open regedit and open taskmanager
- sid - used to manipulate SID(Security Identifiers)
- minesweeper - helps read the location of the mines on the game 'minesweeper' straight from memory
- dpapi - used to work with DPAPI (Data Protection Application Programming Interface)
- busylight - provides additional information for and control of connected BusyLights
- system environment - provides the ability to manage system environment variables
- rpc - provides remote control of mimikatz
- sr98 - RF module for SR98 device and T5577 target
- rdm - RF module for RDM(830 AL) device
- acr - ACR module
<補足>
侵入方法
プログラムは、以下のマルウェアに作成され、コンピュータに侵入します。
その他
プログラムは、以下を実行します。
- プログラムは、さまざまな機能を持つ以下のモジュールを備えています。
- standard - ツールを操作するための一般的なコマンド「exit」、「cls」、「cd」などを含む
- privilege - 権限/権利の操作に用いられる
- crypto - 証明書の一覧表示やエクスポート機能を持つCryptoAPIの関数を使用する
- sekurlsa - Windows のパスワード、キー、PINコード、チケットの抽出機能を持つ
- kerberos - Kerberos チケットの操作機能を持つMicrosoft Kerberos API を使用する
- lsadump - Windowsの認証情報のダンプ機能を持つ
- vault - Vaultの資格情報の操作に用いられる
- token - Windows 認証トークンの操作に用いられる
- event - イベントログの消去/作成に用いられる
- ts - リモートデスクトップの機能を含む
- process - プロセスの操作に用いられる
- service - サービスの操作に用いられる
- net - Windowsユーザに関する情報の表示に用いられる
- misc - 「open cmd」、「open regedit」、「open taskmanager」などのコマンドを含む
- sid - SID（セキュリティ識別子）の操作に用いられる
- minesweeper - ゲーム「マインスイーパ」の地雷の位置をメモリから直接読み取るために用いられる
- dpapi - DPAPI（データ保護アプリケーション・プログラミング・インターフェイス）との連携に用いられる
- busylight - 接続したビジーライトに対する追加情報および制御を提供する
- system environment - システム環境変数の管理機能を提供する
- rpc - mimikatzの遠隔操作を提供する
- sr98 - 対象とするSR98デバイスおよびT5577用のRFモジュール
- rdm - RDM（830 AL）デバイス用のRFモジュール
- acr - ACRモジュール
対応方法
手順 1
トレンドマイクロの機械学習型検索は、マルウェアの存在を示す兆候が確認された時点で検出し、マルウェアが実行される前にブロックします。機械学習型検索が有効になっている場合、弊社のウイルス対策製品はこのマルウェアを以下の機械学習型検出名として検出します。
- Troj.Win32.TRX.XXPE50FFF036
手順 2
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 3
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 4
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「HackTool.Win32.MIMIKATZ.SMGD」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください
