撰文: Joshua Paul Ignacio   

 :

TrojanDropper:O97M/Powdow!MTB (MICROSOFT); Trojan-Dropper.VBA.Agent, Trojan-Dropper.VBA.Agent (IKARUS)

 平台:

Windows

 整體風險評比:
 潛在威脅性:
 潛在散播風險:
 報告感染 :
 資訊暴露評比:

  • 惡意程式類型:
    Trojan

  • 具破壞性:

  • 被加密:

  • In the wild:

  總覽與描述

感染管道: 從互聯網上下載

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

  詳細技術資訊

檔案大小: 396,597 bytes
檔案類型: DOS
記憶體常駐型:
首批樣本接收日期: 2020年3月13日

到達詳細資訊

It arrives on a system as a file dropped by other malware or as a file downloaded unknowingly by users when visiting malicious sites.

安裝

它會新增下列資料夾:

  • %System Root%\MyMusic

(注意:%System Root% 是根資料夾,通常是 C:\。這也是作業系統所在的位置。)

它會放置下列檔案:

  • %System Root%\MyMusic\presskey.cmd → executes %System Root%\MyMusic\presskey.jse
  • %System Root%\MyMusic\presskey.jse → Detected as Worm.JS.JASCREX.B

(注意:%System Root% 是根資料夾,通常是 C:\。這也是作業系統所在的位置。)

它會新增下列處理程序:

  • cmd/T: /U /Q /C cd /D {Drive Letter}: && dir /b/s/x *.mpp *.vsdx *.odt *.ods *.odp *.odm *.odc *.odb *.wps *.xlk *.ppt *.pst *.dwg *.dxf *.dxg *.wpd *.doc *.xls *.pdf *.rtf *.txt *.pub >>%APPDATA%\flip.txt
  • cmd/T: /U /Q /C copy /Y "{Malware File Directory}\{Malware File Name}" "{Name of the file it will replace}.jse" && del /Q/F "{Name of the file it will replace}"
  • wscript /B /E:JScript "%Application Data%\{Random Numbers}.fop"
  • cscript /B /E:JScript "%Application Data%\{Random Numbers}.fop"
  • rundll32 "{Random Numbers}.com" Initialize

它會顯示下列假造的錯誤訊息:


下載程序

它使用下列名稱儲存下載的檔案:

  • %Application Data%\{Random Numbers}.fop
  • %Application Data%\{Random Numbers}.edp
  • %Application Data%\{Random Numbers}.com

資訊遭竊

它會收集下列資料:

  • Computer Name
  • User Name
  • User Domain

  解決方案

最低掃瞄引擎: 9.850
第一個 VSAPI 病毒碼檔案: 15.746.04
第一個 VSAPI 病毒碼發行日期: 2020年3月13日
VSAPI OPR 病毒碼版本: 15.747.00
VSAPI OPR 病毒碼發行日期: 2020年3月14日

Step 1

對於 Windows ME 和 XP 使用者,在執行任何掃瞄之前,請確定您已關閉「系統還原」,以便能完整掃瞄您的電腦。

Step 2

Note that not all files, folders, and registry keys and entries are installed on your computer during this malware's/spyware's/grayware's execution. This may be due to incomplete installation or other operating system conditions. If you do not find the same files/folders/registry information, please proceed to the next step.

Step 3

識別並終止所偵測到如 Trojan.W97M.JASCREX.BSUB 的檔案

[ 學到更多 ]
  1. 對於 Windows 98 和 ME 使用者,「Windows 工作管理員」可能不會顯示所有執行中的處理程序。在此情況下,請使用協力廠商處理程序檢視器(建議使用 Process Explorer)來終止惡意程式/可能的資安威脅程式/間諜程式檔案。您可以在這裡下載上述工具。
  2. 如果偵測到的檔案顯示於「Windows 工作管理員」或 Process Explorer 中,但卻無法將它刪除,請將電腦重新啟動至安全模式。如果要執行此動作,請參考此連結瞭解完整步驟。
  3. 如果偵測到的檔案未顯示於「Windows 工作管理員」或 Process Explorer 中,請繼續執行下列步驟。

Step 4

搜尋並刪除這些檔案

[ 學到更多 ]
有些可能是隱藏的元件檔案。請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的檔案和資料夾。
  • %System Root%\MyMusic\presskey.cmd
  • %SystemRoot%\MyMusic\presskey.jse
  • %Application Data%\{RandomNumbers}.fop
  • %Application Data%\{Random Numbers}.edp
  • %Application Data%\{Random Numbers}.com

Step 5

搜尋並刪除此資料夾

[ 學到更多 ]
請確定您已在「進階選項」中選取「搜尋隱藏的檔案和資料夾」核取方塊,以在搜尋結果中包含所有隱藏的資料夾。
  • %System Root%\MyMusic

Step 6

使用您的趨勢科技產品掃瞄電腦,以刪除所偵測到如 Trojan.W97M.JASCREX.BSUB 的檔案 如果偵測到的檔案已被您的趨勢科技產品清除、刪除或隔離,則不需要進一步的動作。您可以選擇刪除隔離的檔案。請參考此常見問題集頁面瞭解詳細資訊。


說說您對安全威脅百科的想法