Trojan.BAT.EMANSREPO.A

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• powershell -command "Start-Process powershell -ArgumentList '-NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -File "%User Temp%\script.ps1"' -NoNewWindow -Wait"

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

他のシステム変更

マルウェアは、以下のファイルを削除します。

• %User Temp%\script.ps1

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.185/script.ps1

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\script.ps1 → detected as Trojan.PS1.EMANSREPO.A

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

マルウェアは、以下を実行します。

• It checks if %User Temp%\script.ps1 exists.
  • If not, it connects to http://{BLOCKED}.{BLOCKED}.{BLOCKED}.185/script.ps1 to download a malicious script, save it as %User Temp%\script.ps1, execute it, and deletes it afterward.
  • If it exists, it terminates itself

<補足>
ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.{BLOCKED}.185/script.ps1

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %User Temp%\script.ps1 → 「Trojan.PS1.EMANSREPO.A」として検出される

その他

マルウェアは、以下を実行します。

• %User Temp%\script.ps1が存在するかどうかを確認します。
  • 存在しない場合は、http://{BLOCKED}.{BLOCKED}.{BLOCKED}.185/script.ps1に接続して不正なスクリプトをダウンロードします。その後、%User Temp%\script.ps1として保存して実行し、削除します。
  • 存在する場合は、自身を終了します。