Trojan.PS1.POWERSPLOIT.G

2023年3月17日

解析者: Carlos Villegas Madrid

別名:

Trojan:PowerShell/Powersploit.J (MICROSOFT)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

感染経路インターネットからのダウンロード, 他のマルウェアからの作成

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 317,061 bytes

タイプ PS1

メモリ常駐なし

発見日 2023年2月23日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

その他

マルウェアは、以下を実行します。

Capable of the following:
- Loading of the following into memory of the targeted process reflectively
- Loading of a DLL into memory of a remote process reflectively
Uses the following arguments:
- PEBytes → array of bytes containing {Base64 Encoded Payload} Detected as → Backdoor.Win32.TRAMSCAT.A.
- ComputerName → array of strings representing the names of remote computers where to inject the payload. If this parameter is null, the payload will be injected into the local machine.
- FuncReturnType → return type of the function being called in the DLL.
- Exeargs → Optional, arguments to pass to the executable being reflectively loaded.
- ProcName → string that represents the name of the remote process to inject the DLL into.
- ProcId → string that represents the process ID of the remote process to inject the DLL into.
- ForceaSLR → will force the use of ASLR on the PE being loaded even if the PE indicates it doesn't support ASLR.
- DoNotZeroMZ → if set to true, it zeroes out the MZ signature on PE files.

<補足>

マルウェアは、以下を実行します。

以下の機能を備えています。
- 以下を対象プロセスのメモリ内に反射的に読み込みます。
  - バイナリ / 実行可能なペイロード
  - DLL
  - スクリプト
  - Shellコード
- DLL をリモートプロセスのメモリ内に反射的に読み込みます。
以下の引数を使用します。
- PEBytes → {Base64 でエンコードされたペイロード} を含むバイト配列。 → 「Backdoor.Win32.TRAMSCAT.A」として検出
- ComputerName → ペイロードを注入するリモートコンピュータの名前を表す文字列配列。このパラメータが null の場合、ペイロードはローカルコンピュータ内に注入されます。
- FuncReturnType → DLL内で呼び出される関数の戻り値の型。
  - 以下のいずれかが当てはまります。
    - WString
    - String
    - Void
  - Exeargs → 反射的に読み込まれる実行ファイルに渡すオプション引数。
  - ProcName → DLLを注入するリモートプロセスの名前を表す文字列。
  - ProcId → DLL を注入するリモートプロセスのプロセス ID を表す文字列。
  - ForceaSLR → PEがASLRに非対応と示している場合でも、読み込まれるPE上でASLRの使用を強制します。
  - DoNotZeroMZ → trueに設定すると、PEファイル上のMZ署名をゼロにします。

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 18.276.10

初回 VSAPI パターンリリース日 2023年2月25日

VSAPI OPR パターンバージョン 18.277.00

VSAPI OPR パターンリリース日 2023年2月26日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

「Trojan.PS1.POWERSPLOIT.G」で検出したファイル名を確認し、そのファイルを終了します。

[ 詳細 ]

すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、こちらをご参照下さい。
検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、こちらをご参照下さい。
検出ファイルがタスクマネージャ上で表示されない場合、次の手順にお進みください。

手順 4

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.PS1.POWERSPLOIT.G」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください