Trojan.PS1.POWERSPLOIT.G

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

その他

マルウェアは、以下を実行します。

• Capable of the following:
  • Loading of the following into memory of the targeted process reflectively
  • Binary/Executable payloads
  • DLL
  • Script
  • Shellcode
  • Loading of a DLL into memory of a remote process reflectively
• Uses the following arguments:
  • PEBytes → array of bytes containing {Base64 Encoded Payload} Detected as → Backdoor.Win32.TRAMSCAT.A.
  • ComputerName → array of strings representing the names of remote computers where to inject the payload. If this parameter is null, the payload will be injected into the local machine.
  • FuncReturnType → return type of the function being called in the DLL.
  • Could be any of the following:
  • WString
  • String
  • Void
  • Exeargs → Optional, arguments to pass to the executable being reflectively loaded.
  • ProcName → string that represents the name of the remote process to inject the DLL into.
  • ProcId → string that represents the process ID of the remote process to inject the DLL into.
  • ForceaSLR → will force the use of ASLR on the PE being loaded even if the PE indicates it doesn't support ASLR.
  • DoNotZeroMZ → if set to true, it zeroes out the MZ signature on PE files.

<補足>

マルウェアは、以下を実行します。

• 以下の機能を備えています。
  • 以下を対象プロセスのメモリ内に反射的に読み込みます。
    • バイナリ / 実行可能なペイロード
    • DLL
    • スクリプト
    • Shellコード
  • DLL をリモートプロセスのメモリ内に反射的に読み込みます。
• 以下の引数を使用します。
  • PEBytes → {Base64 でエンコードされたペイロード} を含むバイト配列。 → 「Backdoor.Win32.TRAMSCAT.A」として検出
  • ComputerName → ペイロードを注入するリモートコンピュータの名前を表す文字列配列。このパラメータが null の場合、ペイロードはローカルコンピュータ内に注入されます。
  • FuncReturnType → DLL内で呼び出される関数の戻り値の型。
    • 以下のいずれかが当てはまります。
      • WString
      • String
      • Void
    • Exeargs → 反射的に読み込まれる実行ファイルに渡すオプション引数。
    • ProcName → DLLを注入するリモートプロセスの名前を表す文字列。
    • ProcId → DLL を注入するリモートプロセスのプロセス ID を表す文字列。
    • ForceaSLR → PEがASLRに非対応と示している場合でも、読み込まれるPE上でASLRの使用を強制します。
    • DoNotZeroMZ → trueに設定すると、PEファイル上のMZ署名をゼロにします。