Trojan.Win32.MALREP.THOABAAI

マルウェアは、リモートサイトから他の不正プログラムにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のレジストリ値を追加し、タスクマネージャを無効にします。これにより、通常はタスクマネージャを介して行うマルウェアのプロセスの終了が実行できなくなります。

マルウェアは、ユーザが特定のWebサイトにアクセスできないように、感染コンピュータのHOSTSファイルを改変します。

侵入方法

マルウェアは、リモートサイトから以下の不正プログラムによりダウンロードされ、コンピュータに侵入します。

• Ransom.Win32.STOP.THGOAAI

インストール

マルウェアは、以下のファイルを作成し実行します。

• %AppDataLocal%/script.ps1 ← powershell scripts
• %User Temp%/delself.bat ← batch file to remove itself in the system.

(註：%AppDataLocal%フォルダは、ローカルアプリケーションデータフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data" です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local" です。. %User Temp%フォルダは、現在ログオンしているユーザの一時フォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。)

マルウェアは、以下のプロセスを追加します。

• powershell -Command Set-ExecutionPolicy -Scope CurrentUser RemoteSigned
• powershell -NoProfile -ExecutionPolicy Bypass -Command "& {Start-Process PowerShell -ArgumentList '-NoProfile -ExecutionPolicy Bypass -File ""C:\Users\admin\AppData\Local\script.ps1""' -Verb RunAs}"
• "C:\Program Files\Windows Defender\mpcmdrun.exe" -removedefinitions -all
• cmd.exe /C "%UserTemp%\delfself.bat"

他のシステム変更

マルウェアは、以下のレジストリ値を追加し、タスクマネージャを無効にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
System
DisableTaskmgr = 1

HOSTSファイルの改変

マルウェアは、ユーザが以下のWebサイトにアクセスできないように、感染コンピュータのHOSTSファイルを改変します。

• ds.download.windowsupdate.com
• www.update.microsoft.com
• download.windowsupdate.com
• fe2.update.microsoft.com
• whoer.net
• www.whoer.net
• windowsupdate.com
• www.windowsupdate.com
• microsoft.com
• www.microsoft.com
• www.windowsupdate.com
• windowsupdate.com
• www.microsoft.com
• www.360totalsecurity.com
• 360totalsecurity.com
• www.gratissoftwaresite.com
• gratissoftwaresite.com
• tweakers.net
• www.tweakers.net
• www.avg.com
• avg.com
• www.bestevirusscanner.net
• bestevirusscanner.net
• www.consumentenbond.nl
• consumentenbond.nl
• cheaplicensing.com
• www.cheaplicensing.com
• global.ahnlab.com
• www.global.ahnlab.com
• www.ahnlab.com
• ahnlab.com
• downloads.tomsguide.com
• www.downloads.tomsguide.com
• www.download82.com
• download82.com
• download.cnet.com
• www.download.cnet.com
• www.avast.com
• avast.com
• support.avast.com
• www.support.avast.com
• www.consumentenbond.com
• consumentenbond.com
• www.goedkoopsteantivirus.com
• goedkoopsteantivirus.com
• www.toptenreviews.com
• toptenreviews.com
• www.antivirus.nl
• antivirus.nl
• www.bol.com
• bol.com
• www.avira.com
• avira.com
• www.bitdefender.com
• bitdefender.com
• licentie2go.com
• www.licentie2go.com
• www.bullguard.com
• bullguard.com
• www.kpn.com
• kpn.com
• virusscanner.software
• www.virusscanner.software
• www.comodo.com
• comodo.com
• www.drweb.com
• drweb.com
• download.drweb.com
• www.download.drweb.com
• vms.drweb.com
• www.vms.drweb.com
• alternativeto.ne
• www.alternativeto.ne
• softonic.com
• www.softonic.com
• www.softpedia.com
• softpedia.com
• www.flipkart.com
• flipkart.com
• virustotal.com
• www.virustotal.com
• www.emsisoft.com
• emsisoft.com
• www.antimalwaresoftware.com
• antimalwaresoftware.com
• www.pcwebplus.com
• pcwebplus.com
• www.pcmag.com
• pcmag.com
• www.eset.com
• eset.com
• www.surfspot.com
• surfspot.com
• www.topantivirus.com
• topantivirus.com
• www.techzine.com
• techzine.com
• www.eset.com
• eset.com
• www.fortinet.com
• fortinet.com
• fortiguard.com
• www.fortiguard.com
• forticlient.com
• www.forticlient.com
• www.kpn.com
• kpn.com
• www.kaspersky.com
• kaspersky.com
• www.consumentenbond.com
• consumentenbond.com
• www.surfspot.com
• surfspot.com
• www.topreviews.com
• topreviews.com
• www.amecomputers.com
• amecomputers.com
• www.instantsoftware.com
• instantsoftware.com
• www.malwarebytes.com
• malwarebytes.com
• www.malwarebytes.org
• malwarebytes.org
• download.cnet.com
• www.download.cnet.com
• www.bleepingcomputer.com
• bleepingcomputer.com
• www.majorgeeks.com
• majorgeeks.com
• www.seniorweb.com
• seniorweb.com
• www.amazon.com
• amazon.com
• www.techspot.com
• techspot.com
• filehippo.com
• www.filehippo.com
• www.idealsoftware.com
• idealsoftware.com
• uptodown.com
• www.uptodown.com
• www.mcafee.com
• mcafee.com
• home.mcafee.com
• www.home.mcafee.com
• www.coolblue.com
• coolblue.com
• www.pcmag.com
• pcmag.com
• www.sky.com
• sky.com
• norton.com
• www.norton.com
• www.kieskeurig.com
• kieskeurig.com
• internetsecurity.xfinity.com
• www.internetsecurity.xfinity.com
• www.symantec.com
• symantec.com
• www.campusshop.com
• campusshop.com
• www.pandasecurity.com
• pandasecurity.com
• www.paradigit.com
• paradigit.com
• www.sophos.com
• sophos.com
• home.sophos.com
• www.home.sophos.com
• sophos.virtualsecurity.com
• www.sophos.virtualsecurity.com
• www.gratissoftware.com
• gratissoftware.com
• www.seniorweb.com
• seniorweb.com
• www.softwareadvice.com
• softwareadvice.com
• www.symantec.com
• symantec.com
• hostedendpoint.spn.com
• www.hostedendpoint.spn.com
• www.g2crowd.com
• g2crowd.com
• www.trendmicro.com
• trendmicro.com
• www.goedkoopsteantivirus.com
• goedkoopsteantivirus.com
• download.cnet.com
• www.download.cnet.com
• www.ign.com
• ign.com
• www.trusteer.com
• trusteer.com
• my.webrootanywhere.com
• www.my.webrootanywhere.com
• www.webroot.com
• webroot.com
• www.techradar.com
• techradar.com
• support.microsoft.com
• www.support.microsoft.com
• www.microsoft.com
• microsoft.com
• pulse.microsoft.com
• www.pulse.microsoft.com
• pcmweb.com
• www.pcmweb.com
• www.security.com
• security.com
• ccm.net
• www.ccm.net
• www.enigmasoftware.com
• enigmasoftware.com
• howtoremove.guide
• www.howtoremove.guide
• www.2-viruses.com
• 2-viruses.com
• www.2-spyware.com
• 2-spyware.com
• sensorstechforum.com
• www.sensorstechforum.com
• greatis.com
• www.greatis.com
• www.pchubs.com
• pchubs.com
• www.pcrisk.com
• pcrisk.com
• www.malware-board.com
• malware-board.com
• pcthreatskiller.com
• www.pcthreatskiller.com
• pcfixhelp.net
• www.pcfixhelp.net
• stepsforkillingthreats.com
• www.stepsforkillingthreats.com
• www.removemalwarevirus.com
• removemalwarevirus.com
• spyware-techie.com
• www.spyware-techie.com
• anti-spyware-101.com
• www.anti-spyware-101.com
• www.removeallvirus.com
• removeallvirus.com
• www.pcthreat.com
• pcthreat.com
• www.pcinfectionsupport.com
• pcinfectionsupport.com
• www.howtouninstallpcmalware.com
• howtouninstallpcmalware.com
• computerprotectionpro.com
• www.computerprotectionpro.com

その他

マルウェアは、以下の画像を表示します。

• fake Windows update