Trojan.BAT.BATCLOAK.THJBDBC

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %Application Data%\Network48336Man.cmd

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のファイルを作成し実行します。

• Copies of %System%\WindowsPowershell\v1.0\powershell.exe :
  • {Malware Path}\{Malware Filename and Extension}.exe
  • %Application Data%\Network48336Man.cmd.exe

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• {Malware Filename and Extension}.exe {Powershell Script to decrypt and reflectively load the malicious payload}
• powershell.exe $a = [System.Diagnostics.Process]::GetProcessById({Process ID});$b = $a.MainModule.FileName;$a.WaitForExit();Remove-Item -Force -Path $b;
• powershell.exe add-mppreference -exclusionpath @({List of Available Drives})
• "powershell.exe" [Console]::Title = ((Get-ScheduledTask).Actions.Execute -join '').Contains('{Malware Path}\{Malware Filename}')
• powershell.exe Register-ScheduledTask -TaskName 'OneNote 48336' -Trigger (New-ScheduledTaskTrigger -AtLogon) -Action (New-ScheduledTaskAction -Execute '%Application Data%\Network48336Man.cmd') -Settings (New-ScheduledTaskSettingsSet -AllowStartIfOnBatteries -Hidden -ExecutionTimeLimit 0) -RunLevel Highest -Force
• cmd /c ""%Application Data%\Network48336Man.cmd" "

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、Windowsのタスクスケジューラを用いて、「スケジュールされたタスク」を作成します。これにより、作成されたコピーが実行されます。

自動実行方法

この「スケジュールされたタスク」により、以下の時間ごとにマルウェアが実行されます。

• Logon

その他

マルウェアは、以下を実行します。

• It reflectively loads the encrypted payloads.
• It bypasses the Antimalware Scan Interface (AMSI).
• Terminates if found being executed in a debugger.
• Sets the attribute of the copied powershell.exe ({Malware Path}\{Malware Filename and Extension}.exe) to HIDDEN.
• Deletes the copied powershell.exe after execution.
• It adds the available drives to the exclusion path list of Windows Defender.

以下のスケジュールされたタスクを追加します：

• Task Name: OneNote 48336
  Trigger: At Logon
  Task Action: %Application Data%\Network48336Man.cmd

(註：%Application Data%フォルダは、現在ログオンしているユーザのアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Roaming" です。)