Trojan.BAT.STARTER.UWAOOABQ

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

• Trojan.Win64.DIRECTKEYLOGGER.AA

インストール

マルウェアは、以下のプロセスを追加します。

• reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost" /v "EntAppsvc" /t REG_MULTI_SZ /d "EntAppsvc" /f
• sc create "EntAppsvc" binPath= "C:\Windows\system32\svchost.exe -k EntAppsvc" type= share start= auto error= ignore DisplayName= "EntAppsvc"
• sc description "EntAppsvc" ""
• reg add "HKLM\SYSTEM\CurrentControlSet\Services\EntAppsvc\Parameters" /f
• reg add "HKLM\SYSTEM\CurrentControlSet\Services\EntAppsvc\Parameters" /v "ServiceDll" /t REG_EXPAND_SZ /d "%System%\EntAppsvc.dll" /f
• net start "EntAppsvc"

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

自動実行方法

マルウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows NT\CurrentVersion\Svchost
EntAppsvc = EntAppsvc

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\EntAppsvc\Parameters
ServiceDll = %System%\EntAppsvc.dll

マルウェアは、作成されたコンポーネントをシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\EntAppsvc

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
services\EntAppsvc\Parameters

マルウェアは、以下のサービスを開始します。

• EntAppsvc

その他

マルウェアは、以下を実行します。

• It moves the following to %System% directory:
  • EntAppsvc.dll → detected as TrojanSpy.Win64.DIRECTKEYLOGGER.A