Trojan.BAT.KILLAV.BD

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のプロセスを追加します。

• "%Program Files%\Malwarebytes' Anti-Malware\unins000.exe" /verysilent /suppressmsgboxes /norestart
• "%Program Files%\Malwarebytes' Anti-Malware\unins000.exe" /verysilent /suppressmsgboxes /norestart
• powershell.exe Add-MpPreference -ExclusionPath C:\, C:\Windows

(註：%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files（x86）" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
C:\ = 0

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
C:\Windows\ = 0

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefend
Start = 4

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1

(註：変更前の上記レジストリ値は、「0」となります。)

プロセスの終了

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。

• acronisagent
• acrsch2svc
• Apache2
• BackupExecRPCService
• cbvscservice11
• cobianbackup 11
• dcevt32
• dcstor32
• firebirdguardiandefaultinstance
• hMailServer
• IASJet
• IBM Domino Diagnostics (CProgramFilesIBMDomino)
• IBM Domino Server (CProgramFilesIBMDominodata)
• ibmiasrw
• IISADMIN
• klactprx
• kladminserver
• klnagent
• klwebsrv
• ksnproxy
• Lotus Domino Server (LotusDominoData)
• Lotus Notes Single Logon
• mms
• mr2kserv
• MSExchangeADTopology
• MSExchangeFBA
• MSExchangeIS
• MSExchangeSA
• mssqlfdlauncher
• MSSQLServerADHelper100
• omsad
• PostgreSQL Database Server 8.0
• QBCFMonitorService
• QBPOSDBServiceV12
• QBVSS
• QuickBooksDB21
• QuickBooksDB22
• QuickBooksDB23
• QuickBooksDB24
• QuickBooksDB25
• QuickBooksDB26
• QuickBooksDB27
• QuickBooksDB28
• server Administrator
• ShadowProtectSvc
• Simply Accounting Database Connection Manager
• SPAdminV4
• SPSearch4
• SPTimerV4
• SPTraceV4
• SPUserCodeV4
• SPWriterV4
• SPXService
• sqlbrowser
• stc_endpt_svc
• StorageCraft ImageManager
• teamviewer
• VSNAPVSS
• wbengine
• WinDefend
• wrsvc

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• *SQL*
• agent*
• apach*
• avp*
• avpsus*
• b1*
• ba*
• bd2*
• be*
• be*
• bes10*
• black*
• cbservi*
• cbvscservi*
• db*
• hMailServer*
• IBM*
• Kaspersky Endpoint Security 10 for Windows*
• Kaspersky Seamless Update Service*
• Kaspersky Security Center Network Agent*
• Kaspersky Security Center Vulnerability Assessment*
• klnagent*
• mysql*
• nservice.exe
• nslsvice.exe
• ntrtscan.exe
• oracle*
• pg_ctl.exe
• postg*
• QB*
• sage*
• sap*
• sql*
• store.exe
• team*
• vapm*
• vee*
• veea*
• wbengine*
• wrsa.exe