Trojan.BAT.BANLOAD.THBAIAI

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、ブラジルの銀行ユーザを狙いバンキングトロジャンを送り込む攻撃で使用されたバッチファイルです。このバッチファイルは、特定のWebサイトに接続し、ホストされている不正なPowerShellスクリプトを取得して実行します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

• %Public%\Java_{6 random character}{1 random number}_

(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.52.26/loads/20938092830482 ← Powershell codes that will connect to other websites to download, extract and rename.
• http://{BLOCKED}.{BLOCKED}.52.26/mods/al/md.zip ← downloaded of Powershell codes

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Public%\Java_{6 random character}{1 random number}_\ex.png ← detected as Trojan.JS.BANKER.THBAIAI
• %Public%\Java_{6 random character}{1 random number}_\Java_{6 random character}{1 random number}_.exe ← Autoit Sctipt Compiler
• %Public%\Java_{6 random character}{1 random number}_\Java_{6 random character}{1 random number}_.LNS ← detected as TrojanSpy.Win32.BANRAP.AS
• %Public%\Java_{6 random character}{1 random number}_\Java_{6 random character}{1 random number}_1.LNS ← Autoit script
• %Public%\Java_{6 random character}{1 random number}_\libeay32.dll ← normal file
• %Public%\Java_{6 random character}{1 random number}_\sqlite3.dll ← normal file
• %Public%\Java_{6 random character}{1 random number}_\ssleay32.dll ← normal file
• %Public%\i.dat ← where it saves its string used for files and folder name.
• %Public%\c.lnk ← Target: Autoit compiler and autoit script
• %User Startup%\ Java__{6 random character}{1 random number}_.lnk ← Target: Autoit script compiler and autoit script

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

<補足>
インストール

マルウェアは、以下のフォルダを作成します。

• %Public%\Java_{ランダムな6文字}{ランダムな数字1文字}_

ダウンロード活動

マルウェアは、以下のWebサイトにアクセスし、不正なファイルをダウンロードして実行します。

• http://{BLOCKED}.{BLOCKED}.52.26/loads/20938092830482 ← 他のWebサイトに接続してダウンロード、抽出、名前変更を行うPowerShellコード
• http://{BLOCKED}.{BLOCKED}.52.26/mods/al/md.zip ← Powershellコードのダウンロード

マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。

• %Public%\Java_{ランダムな6文字}{ランダムな数字1文字}_\ex.png ← 「Trojan.JS.BANKER.THBAIAI」として検出
• %Public%\Java_{ランダムな6文字}{ランダムな数字1文字}_\Java_{ランダムな6文字}{ランダムな数字1文字}_.exe ← Autoit スクリプトコンパイラ
• %Public%\Java_{ランダムな6文字}{ランダムな数字1文字}_\Java_{ランダムな6文字}{ランダムな数字1文字}_.LNS ← 「TrojanSpy.Win32.BANRAP.AS」として検出
• %Public%\Java_{ランダムな6文字}{ランダムな数字1文字}_\Java_{ランダムな6文字}{ランダムな数字1文字}_1.LNS ← Autoit スクリプト
• %Public%\Java_{ランダムな6文字}{1 random number}_\libeay32.dll ← ノーマルファイル
• %Public%\Java_{ランダムな6文字}{ランダムな数字1文字}_\sqlite3.dll ← ノーマルファイル
• %Public%\Java_{ランダムな6文字}{ランダムな数字1文字}_\ssleay32.dll ← ノーマルファイル
• %Public%\i.dat ← ファイルとフォルダ名に使用される文字列を保存します
• %Public%\c.lnk ← 対象：Autoitコンパイラおよびautoitスクリプト
• %User Startup%\ Java__{ランダムな6文字}{ランダムな数字1文字}_.lnk ← 対象：Autoitスクリプトコンパイラとautoitスクリプト

マルウェアは、上記で作成されたフォルダ内にダウンロードしたファイルを保存します。

その他

マルウェアは、以下を実行します。

• マルウェアは、感染PCを再起動するため以下のコマンドを実行します。
  • shutdown -r -t 200