更新者 : Joshua Paul Ignacio
 別名:

N/A

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    トロイの木馬型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 151,619 bytes
タイプ EXE
発見日 2021年2月21日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

  • cmd /c powershell -e {Base64 Encoded Command}
  • "%System%\cmd.exe" /c start /b wmic.exe product where "name like '%Eset%'" call uninstall /nointeractive
  • "%System%\cmd.exe" /c start /b wmic.exe product where "name like '%%Kaspersky%%'" call uninstall /nointeractive
  • "%System%\cmd.exe" /c start /b wmic.exe product where "name like '%avast%'" call uninstall /nointeractive
  • "%System%\cmd.exe" /c start /b wmic.exe product where "name like '%avp%'" call uninstall /nointeractive
  • "%System%\cmd.exe" /c start /b wmic.exe product where "name like '%Security%'" call uninstall /nointeractive
  • "%System%\cmd.exe" /c start /b wmic.exe product where "name like '%AntiVirus%'" call uninstall /nointeractive
  • "%System%\cmd.exe" /c start /b wmic.exe product where "name like '%Norton Security%'" call uninstall /nointeractive
  • "%System%\cmd.exe" /c C:\Progra~1\Malwarebytes\Anti-Malware\unins000.exe /verysilent /suppressmsgboxes /norestart
  • "%System%\schtasks.exe" /create /ru system /sc MINUTE /mo 120 /tn blackball2 /F /tr blackball2
  • "%System%\schtasks.exe" /create /ru system /sc MINUTE /mo 60 /tn \{Random Characters} /F /tr "powershell -w hidden -c PS_CMD"
  • "%System%\schtasks.exe" /run /tn \{Random Characters}
  • "%System%\schtasks.exe" /create /ru system /sc MINUTE /mo 60 /tn {Random Characters}\{Random Characters} /F /tr "powershell -w hidden -c PS_CMD"
  • "%System%\schtasks.exe" /run /tn {Random Characters}\{Random Characters}
  • "%System%\schtasks.exe" /create /ru system /sc MINUTE /mo 60 /tn MicroSoft\Windows\{Random Characters}\{Random Characters} /F /tr "powershell -w hidden -c PS_CMD"
  • "%System%\schtasks.exe" /run /tn MicroSoft\Windows\{Random Characters}\{Random Characters}
  • "%System%\cmd.exe" /c netsh.exe firewall add portopening tcp 65529 SDNSd
  • "%System%\netsh.exe" interface portproxy add v4tov4 listenport=65529 connectaddress={BOCKED}.{BLOCKED}.1.1 connectport=53
  • "%System%\netsh.exe" advfirewall firewall add rule name=deny445 dir=in protocol=tcp localport=445 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=deny135 dir=in protocol=tcp localport=135 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=d.{BLOCKED}g.com dir=in protocol=any remoteip={BLOCKED}.{BLOCKED}.154.202 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=d.{BLOCKED}g.com dir=in protocol=any remoteip={BLOCKED}.{BLOCKED}.207.96 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=d.{BLOCKED}g.com dir=in protocol=any remoteip={BLOCKED}.{BLOCKED}.188.255 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=t.{BLOCKED}x.com dir=in protocol=any remoteip={BLOCKED}.{BLOCKED}.80.221 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=t.{BLOCKED}x.com dir=in protocol=any remoteip={BLOCKED}.{BLOCKED}.107.193 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=t.{BLOCKED}x.com dir=in protocol=any remoteip={BLOCKED}.{BLOCKED}.43.37 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=d.{BLOCKED}g.com dir=out protocol=any remoteip={BLOCKED}.{BLOCKED}.154.202 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=d.{BLOCKED}g.com dir=out protocol=any remoteip={BLOCKED}.{BLOCKED}.207.96 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=d.{BLOCKED}g.com dir=out protocol=any remoteip={BLOCKED}.{BLOCKED}.188.255 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=t.{BLOCKED}x.com dir=out protocol=any remoteip={BLOCKED}.{BLOCKED}.80.221 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=t.{BLOCKED}x.com dir=out protocol=any remoteip={BLOCKED}.{BLOCKED}.107.193 action=block
  • "%System%\netsh.exe" advfirewall firewall add rule name=t.{BLOCKED}x.com dir=out protocol=any remoteip={BLOCKED}.{BLOCKED}.43.37 action=block
  • "%System%\schtasks.exe" /delete /tn blackballl /F
  • "%System%\schtasks.exe" /delete /tn blackball /F
  • "%System%\schtasks.exe" /delete /tn Rtsa2 /F
  • "%System%\schtasks.exe" /delete /tn Rtsa1 /F
  • "%System%\schtasks.exe" /delete /tn Rtsa /F

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://down.{BLOCKED}o.com/gim.jsp

マルウェアは、以下を実行します。

  • It adds the following scheduled tasks:
    • Task Name: blackball2
      Trigger: At {Time and Date of execution} - After triggered, repeat after 02:00:00 indefinitely
      Action: Start a program: blackball2
    • Task Name: {Random Characters}
      Trigger: At {Time and Date of execution} - After triggered, repeat after 1 hour indefinitely
      Action: Start a program: powershell -w hidden -c {Command}
    • Task Name: {Random Characters}\{Random Characters}
      Trigger: At {Time and Date of execution} - After triggered, repeat after 1 hour indefinitely
      Action: Start a program: powershell -w hidden -c {Command}
    • Task Name: MicroSoft\Windows\{Random Characters}\{Random Characters}
      Trigger: At {Time and Date of execution} - After triggered, repeat after 1 hour indefinitely
      Action: Start a program: powershell -w hidden -c {Command}

  対応方法

対応検索エンジン: 9.850
初回 VSAPI パターンバージョン 16.552.02
初回 VSAPI パターンリリース日 2021年2月21日
VSAPI OPR パターンバージョン 16.553.00
VSAPI OPR パターンリリース日 2021年2月22日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

スケジュールされたタスクを削除する

タスク削除の手順に含まれる{タスク名} - {実行するタスク}には以下が当てはまります。

  • Task Name: blackball2
    Task to be run: Start a program: blackball2
  • Task Name: {Random Characters}
    Task to be run: Start a program: powershell -w hidden -c {Command}
  • Task Name: {Random Characters}\{Random Characters}
    Task to be run: Start a program: powershell -w hidden -c {Command}
  • Task Name: MicroSoft\Windows\{Random Characters}\{Random Characters}
    Task to be run: Start a program: powershell -w hidden -c {Command}

Windows 2000、Windows XP、Windows Server 2003の場合：

  1. [スタート]→[プログラム]→[アクセサリ]→[システムツール]→[スケジュールされたタスク]をクリックして、スケジュールされたタスクを開きます。
  2. 上記の{タスク名} を、[名前]の欄に入力します。
  3. 入力した{タスク名} 持つファイルを右クリックします。
  4. [プロパティ]をクリックします。 [実行]フィールドで、表示されている{実行するタスク}を確認します。
  5. 上記の{実行するタスク}と文字列が一致するタスクを削除します。

Windows Vista、Windows 7、Windows Server 2008、Windows 8、Windows 8.1、およびWindows Server 2012の場合：

  1. Windowsタスクスケジューラを開きます。
    • Windows Vista、Windows 7、Windows Server 2008の場合、[スタート]をクリックし、[検索]フィールドに「taskchd.msc」と入力してEnterキーを押します。
    • Windows 8、Windows 8.1、Windows Server 2012の場合、画面の左下隅を右クリックし、[実行]をクリックし、「taskchd.msc」と入力してEnterキーを押します。
  2. 左側のパネルで、[タスクスケジューラライブラリ]をクリックします。
  3. 中央上部のパネルで、上記の{タスク名}を[名前]の欄に入力します。
  4. 中央下部のパネルで、[アクション]タブをクリックします。 [詳細]の欄で、{実行するタスク}を確認します。
  5. 文字列が一致するタスクを削除します。

手順 4

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.Win32.LEMONDUCK.J」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください