• Email
• Facebook
• Twitter
• Google+
• Linkedin

Trojan.VBS.POWLOAD.I

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• `"%System%\WindowsPowerShell\v1.0\powershell.exe" -encodedCommand {base64-encoded equivalent of the obfuscated PowerShell command}`
• `"%System%\wbem\WMIC.exe" /Node:localhost /Namespace:\root\cimv2 path Win32_Process call Create`
• `"%System%\getmac.exe"` → retrieves the MAC or physical address of the machine
• `"%System%\schtasks.exe" /create /TN Chrome_Update /TR "%System%\wscript.exe /b ""%Public%\Music\bot.vbe""" /SC MINUTE /mo 15 /f`→ creates a scheduled task

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.. %Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

情報漏えい

マルウェアは、以下の情報を収集します。

• Media Access Control (MAC) address of the affected system's network interface

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.148.84//support.php?type=apple&seed={MAC Address} → contains an `schtasks.exe` command string that installs the persistence scheduled task described in the Installation section. Note that the command string can be modified anytime by the malicious actor.

マルウェアは、以下を実行します。

• Creates a `Win32_ProcessStartup` instance and sets its `ShowWindow` property to `12` (SW_HIDE) so that the spawned PowerShell window is invisible to the user
• Uses the PowerShell `Net.WebClient.DownloadString` method to retrieve the second-stage string command from the C2 server
• Executes the downloaded command in memory through the `Invoke-Expression` (`iex`) cmdlet without writing it to disk

マルウェアは、脆弱性を利用した感染活動を行いません。

以下のスケジュールされたタスクを追加します：

• Task name: `\Chrome_Update`
  Trigger: every 15 minutes
  Action: `%System%\wscript.exe /b C:\Users\Public\Music\bot.vbe`

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

<補足>
インストール

マルウェアは、以下のプロセスを追加します。

• `"%System%\WindowsPowerShell\v1.0\powershell.exe" -encodedCommand {難読化されたPowerShellコマンドがBase64でエンコードされた文字列}`
• `"%System%\wbem\WMIC.exe" /Node:localhost /Namespace:\root\cimv2 path Win32_Process call Create`
• `"%System%\getmac.exe"` → 感染コンピュータのMACアドレスまたは物理アドレスを取得する
• `"%System%\schtasks.exe" /create /TN Chrome_Update /TR "%System%\wscript.exe /b ""%Public%\Music\bot.vbe""" /SC MINUTE /mo 15 /f`→ スケジュールされたタスクを作成する

情報漏えい

マルウェアは、以下の情報を収集します。

• 影響を受けるコンピュータのネットワークインターフェイスに割り当てられたMACアドレス

その他

<>pマルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.148.84//support.php?type=apple&seed={MACアドレス} → 上記（インストールセクション）に記載された、永続化に関わるスケジュールタスクを作成する`schtasks.exe`コマンド文字列を含む（このコマンド文字列は、攻撃者によっていつでも変更される可能性がある点にご注意ください）。

マルウェアは、以下を実行します。

• `Win32_ProcessStartup`インスタンスを作成して`ShowWindow`プロパティを`12` (SW_HIDE)に設定することで、 生成されたPowerShellウインドウがユーザに見えないようにします。
• PowerShellの`Net.WebClient.DownloadString`メソッドを用いて、C&Cサーバから第二段階の文字列コマンドを取得します。
• ダウンロードされたコマンドをディスク上に書き込むことなく、`Invoke-Expression` (`iex`)コマンドレットを通じてメモリ上で実行します。

以下のスケジュールされたタスクを追加します：

• タスク名: `\Chrome_Update`
  トリガ: 15分毎
  アクション: `%System%\wscript.exe /b C:\Users\Public\Music\bot.vbe`

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください