Trojan.BAT.MEDUSASTART.A

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• sc create nkbkp binpath= "%COMSPEC% /C start /b %Windows%\step2.bat" start= auto DisplayName= "nkbkp"
• reg add HKLM\System\CurrentControlSet\Control\SafeBoot\Minimal\nkbkp /f
• reg add HKLM\System\CurrentControlSet\Control\SafeBoot\Minimal\nkbkp /ve /d "Service" /f
• bcdedit /set {default} safeboot minimal
• shutdown /r /f /t 00 & del %0

(註：%Windows%フォルダは、Windowsが利用するフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows" です。.)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
nkbkp
(Default) = Service

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\SafeBoot\Minimal\
nkbkp

マルウェアは、以下を実行します。

• creates the following service to execute %Windows%\step2.bat → detected as Trojan.BAT.KILLAV.WLDT
  • Service Name: nkbkp
  • ImagePath: "%COMSPEC% /C start /b %Windows%\step2.bat"
• restarts machine into safe mode
• deletes itself