Trojan.PS1.KILLAV.AA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、ワーム活動の機能を備えていません。

マルウェアは、バックドア活動の機能を備えていません。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

• \\{BLOCKED}.{BLOCKED}.local\log${Computer Name}.txt

マルウェアは、以下のプロセスを追加します。

• cmd.exe /c 'C:\Program Files\Malwarebytes\Anti-Malware\unins001.exe' /silent /noreboot
• 'C:\Program Files\Malwarebytes\Anti-Malware\unins000.exe' /silent /noreboot
• "C:\Program Files\Microsoft Security Client\Setup.exe" /x /s
• dism /online /Disable-Feature /FeatureName:Windows-Defender /Remove /NoRestart /quiet
• vssadmin delete shadows /all /quiet
• wbadmin stop job
• cmd.exe /c assoc .README=txtfile

他のシステム変更

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\
Control\Terminal Server
fDenyTSConnections = 0

(註：変更前の上記レジストリ値は、「1」となります。)

感染活動

マルウェアは、ワーム活動の機能を備えていません。

バックドア活動

マルウェアは、バックドア活動の機能を備えていません。

ルートキット機能

マルウェアは、ルートキット機能を備えていません。

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• Stop and disable services with the following strings in their name:
  • SQL
  • Oracle
  • Citrix
  • Exchange
  • Veeam
  • Malwarebytes
  • Sharepoint
  • Quest
  • Backup
• Terminates processes using the following commands:
  • wmic process where "name like '%{string}%'" delete
• Process strings:
  • Agent
  • Malware
  • Endpoint
  • Citrix
  • sql
  • Veeam
  • Core.Service
  • Mongo
  • Backup
  • QuickBooks
  • QBDB
  • QBData
  • QBCF
  • server
  • sage
  • http
  • apache
  • web
  • vnc
  • teamviewer
  • OCS Inventory
  • monitor
  • security
  • def
  • dev
  • office
  • anydesk
  • protect
  • secure
  • segurda
  • center
  • silverlight
  • exchange
  • manage
  • acronis
  • autodesk
  • database
  • adobe
  • java
  • logmein
  • microsoft
  • solarwinds
  • engine
  • AlwaysOn
  • Framework
  • sprout
  • firefox
  • chrome
  • barracuda
  • arcserve

その他

マルウェアは、以下を実行します。

• Uninstalls MalwareBytes Anti-Malware
• Disables Real-time monitoring for Windows Defender
• Excludes .exe files from scans
• Deletes computer restore points
• Uninstalls Windows Defender and removes its installation package
• Deletes shadow copies
• Cancels backup or recovery operation
• It performs UDP broadcast to the following IP address:
  • 255.255.255.255
• Enables remote desktop connection
• Change local users' passwords

マルウェアは、脆弱性を利用した感染活動を行いません。

<補足>
インストール

マルウェアは、以下のファイルを作成します。

• \\{BLOCKED}.{BLOCKED}.local\log${コンピュータ名}.txt

プロセスの終了

マルウェアは、感染コンピュータ上でプロセスが常駐されていることを確認した場合、以下のいずれかの文字列を含むプロセスまたはサービスを終了します。

• 以下の文字列が含まれているサービスを停止して無効にします。
  • SQL
  • Oracle
  • Citrix
  • Exchange
  • Veeam
  • Malwarebytes
  • Sharepoint
  • Quest
  • Backup
• 以下のコマンドを使用してプロセスを終了します。
  • wmic process where "name like '%{文字列}%'" delete
• プロセスの文字列：
  • Agent
  • Malware
  • Endpoint
  • Citrix
  • sql
  • Veeam
  • Core.Service
  • Mongo
  • Backup
  • QuickBooks
  • QBDB
  • QBData
  • QBCF
  • server
  • sage
  • http
  • apache
  • web
  • vnc
  • teamviewer
  • OCS Inventory
  • monitor
  • security
  • def
  • dev
  • office
  • anydesk
  • protect
  • secure
  • segurda
  • center
  • silverlight
  • exchange
  • manage
  • acronis
  • autodesk
  • database
  • adobe
  • java
  • logmein
  • microsoft
  • solarwinds
  • engine
  • AlwaysOn
  • Framework
  • sprout
  • firefox
  • chrome
  • barracuda
  • arcserve

その他

マルウェアは、以下を実行します。

• MalwareBytes Anti-Malwareのアンインストール
• WindowsDefenderのリアルタイム保護の無効化
• スキャンから実行ファイルの除外
• 感染コンピュータの復元ポイントの削除
• Windows Defenderのアンインストールおよびインストールパッケージの削除
• シャドウコピーの削除
• バックアップあるいはリカバリ操作のキャンセル
• 以下のIPアドレスに対してUDPでブロードキャストを実行します。
  • 255.255.255.255
• リモートデスクトップ接続の有効化
• ローカルユーザのパスワードの変更