PUA.BAT.ServicePermit.A

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

プログラムは、ワーム活動の機能を備えていません。

プログラムは、バックドア活動の機能を備えていません。

プログラムは、情報収集する機能を備えていません。

侵入方法

プログラムは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

プログラムは、以下のプロセスを追加します。

• sc sdset scanplus D:(A;;CCLCSWRPLOCRRC;;;SY)(A;;CCLCSWRPLOCRRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;RPLO;;;S-1-5-32-544)(D;;DCSD;;;S-1-5-32-5444)S:(AU;FA;CCLCSWRPLOCRRCWDWO;;;WD)
• sc sdset scanpluspm D:(A;;CCLCSWRPLOCRRC;;;SY)(A;;CCLCSWRPLOCRRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;RPLO;;;S-1-5-32-544)(D;;DCSD;;;S-1-5-32-5444)S:(AU;FA;CCLCSWRPLOCRRCWDWO;;;WD)
• sc sdset secureitrservice D:(A;;CCLCSWRPLOCRRC;;;SY)(A;;CCLCSWRPLOCRRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;RPLO;;;S-1-5-32-544)(D;;DCSD;;;S-1-5-32-5444)S:(AU;FA;CCLCSWRPLOCRRCWDWO;;;WD)
• sc sdset tba D:(A;;CCLCSWRPLOCRRC;;;SY)(A;;CCLCSWRPLOCRRCWDWO;;;BA)(A;;CCLCSWLOCRRC;;;IU)(A;;CCLCSWLOCRRC;;;SU)(A;;RPLO;;;S-1-5-32-544)(D;;DCSD;;;S-1-5-32-5444)S:(AU;FA;CCLCSWRPLOCRRCWDWO;;;WD)
• cmd /c REG ADD "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoControlPanel" /t REG_DWOrD /d 1 /f
• cmd /c REG ADD "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v "DisableTaskMgr" /t REG_DWOrD /d 1 /f
• cmd /c REG ADD "HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoRun" /t REG_DWOrD /d 1 /f
• cmd /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System" /v "DisableCMD" /t REG_DWOrD /d 2 /f
• cmd /c REG ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System" /v "DisableRegistryTools" /t REG_DWOrD /d 1 /f

他のシステム変更

プログラムは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoControlPanel = 1

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskMgr = 1

HKEY_LOCAL_MACHINE\Software\Microsoft\
Windows\CurrentVersion\Policies\
Explorer
NoRun = 1

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\System
DisableCMD = 2

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\System
DisableRegistryTools = 1

感染活動

プログラムは、ワーム活動の機能を備えていません。

バックドア活動

プログラムは、バックドア活動の機能を備えていません。

ルートキット機能

プログラムは、ルートキット機能を備えていません。

情報漏えい

プログラムは、情報収集する機能を備えていません。

その他

プログラムは、以下を実行します。

• It sets the security descriptor for the services scanplus, scanpluspm, secureitrservice, and tba to include specific permissions for the following user groups:
  • DACL Settings:
    • Local System → Granted full control with specific permissions.
    • Built-in Administrators → Granted full control with additional write permissions.
    • Interactive Users → Granted specific permissions but with some limitations compared to System.
    • Service Users → Similar permissions to Interactive Users.
    • Administrators Group → Allowed read property and list object permissions.
    • Specific SID (S-1-5-32-5444) → Denied delete child and delete permissions
  • SACL Settings:
    • Audits all access with full permissions for Everyone.
• It disables access to the Control Panel, Task Manager, Command Prompt, and Registry Editor.
• It disables the "Run" command.

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
プログラムは、以下を実行します。

• 以下のユーザグループに特定の権限を含めるために、サービス「scanplus」、「scanpluspm」、「secureitrservice」、「tba」のセキュリティ記述子を設定します。
  • DACL設定：
    • Local System → 特定の権限によりフルコントロールが付与される
    • Built-in Administrators → 追加の書き込み権限とともにフルコントロールが付与される
    • Interactive Users → 特定の権限が付与されるが、SYSTEMに比べていくつかの制限がある
    • Service Users → Interactive Usersと同様の権限
    • Administrators Group → プロパティの読み取りおよびオブジェクト権限の一覧表示が許可される
    • Specific SID (S-1-5-32-5444) → 子プロセスおよび権限の削除が拒否される
  • SACL設定：
    • Everyoneに対する完全な権限によりすべてのアクセスを監査する
• コントロールパネル、タスクマネージャ、コマンドプロンプト、レジストリエディタへのアクセスを無効化します。
• コマンド「run」を無効化します。