Trojan.Win64.KILLAV.AB

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、セキュリティ製品に関連するレジストリキーを削除します。これにより、マルウェアは、感染コンピュータにインストールされているセキュリティ製品に検出されることなく、自身の不正活動を実行することが可能になります。

マルウェアは、セキュリティ対策製品に関連するサービスを無効にします。これにより、マルウェアは、感染コンピュータから削除されることなく不正活動を実行することが可能になります。

マルウェアは、実行後、自身を削除します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\__{Random Numbers}_{Random Numbers}.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

他のシステム変更

マルウェアは、セキュリティ製品に関連するレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Service Name}
Where {Service Name} can be:

• KAVFS
• ksnproxy
• KAVFSGT
• kavfsslp
• klnagent
• SAVService
• KAVFS
• kavfsslp
• klnagent
• KAVFSGT
• epag
• EPIntegrationService
• EPProtectedService
• EPRedline
• EPSecurityService
• EPUpdateService

プロセスの終了

マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• Using the following commands:
  • taskkill /f /im {Process Name}
  
  Process Name:
  • macompatsvc.exe
  • mfemactl.exe
  • shstat.exe
  • mcconsol.exe
  • macmnsvc.exe
  • masvc.exe
  • mcshield.exe
  • mfemms.exe
  • AgentSvc.exe
  • PccNt.exe
  • PccNTMon.exe
  • NTRTScan.exe
  • kavtray.exe
  • kavfswp.exe
  • kavfswh.exe
  • kavfs.exe
  • ksnproxy.exe
  • kavfsgt.exe
  • klnagent.exe

マルウェアは、感染コンピュータ上で確認した以下のサービスを終了し、セキュリティ対策製品に関連するサービスを無効にします。

• KAVFS
• ksnproxy
• KAVFSGT
• kavfsslp
• klnagent
• SAVService
• KAVFS
• kavfsslp
• klnagent
• KAVFSGT
• epag
• EPIntegrationService
• EPProtectedService
• EPRedline
• EPSecurityService
• EPUpdateService

その他

マルウェアは、以下を実行します。

• It adds the following Image File Execution Options to prevent certain files from executing:
  Registry Entry:
  
  • In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\{Application Name}
    • Debugger = "%System%\svchost.exe"
      
  
  Where {Application Name} is:
  • 360bdoctor.exe
  • 360EntClient.exe
  • 360rp.exe
  • 360Safe.exe
  • 360sd.exe
  • 360tray.exe
  • AgentSvc.exe
  • ARWSRVC.EXE
  • ASDSvc.exe
  • aswEngSrv.exe
  • aswidsagent.exe
  • AvastSvc.exe
  • AvastUI.exe
  • avgsvca.exe
  • avgui.exe
  • avguix.exe
  • avgwdsvca.exe
  • avp.exe
  • avpmapp.exe
  • avpsus.exe
  • avpui.exe
  • bdredline.exe
  • ccSvcHst.exe
  • coreFrameworkHost.exe
  • coreServiceShell.exe
  • cyserver.exe
  • CyveraService.exe
  • ds_monitor.exe
  • dsa.exe
  • EconSer.exe
  • egui.exe
  • eguiProxy.exe
  • ekrn.exe
  • EMLPROXY.EXE
  • epag.exe
  • EPIntegrationService.exe
  • EPProtectedService.exe
  • EPSecurityService.exe
  • EPUpdateService.exe
  • ERAAgent.exe
  • hmpalert.exe
  • iVPAgent.exe
  • K7CrvSvc.exe
  • k7emlpxy.exe
  • k7fwsrvc.exe
  • k7rtscan.exe
  • k7tsecurity.exe
  • k7tsmngr.exe
  • k7twp.exe
  • kavfs.exe
  • kavfsgt.exe
  • kavfswh.exe
  • kavfswp.exe
  • kavtray.exe
  • klnagent.exe
  • klserver.exe
  • ksnproxy.exe
  • kwmusic.exe
  • macmnsvc.exe
  • macompatsvc.exe
  • masvc.exe
  • MBAMService.exe
  • mcconsol.exe
  • mcshield.exe
  • mfemactl.exe
  • mfemms.exe
  • MpCmdRun.exe
  • MsMpEng.exe
  • msseces.exe
  • NortonSecurity.exe
  • Notifier.exe
  • nsWscSvc.exe
  • NTRTScan.exe
  • onlinent.exe
  • opssvc.exe
  • PccNt.exe
  • PccNTMon.exe
  • PSANHost.exe
  • PSUAMain.exe
  • PSUAService.exe
  • QQPCRealTimeSpeedup.exe
  • QQPCRTP.exe
  • QQPCTray.exe
  • quhlpsvc.exe
  • qvod.exe
  • RAYCSER.EXE
  • RouterNT.exe
  • SAPISSVC.EXE
  • SavService.exe
  • SEDService.exe
  • sepWscSvc64.exe
  • shstat.exe
  • Sophos UI.exe
  • SophosFileScanner.exe
  • SophosFIMService.exe
  • SophosFS.exe
  • SophosNtpService.exe
  • SSPService.exe
  • SVRTgui.exe
  • SVRTservice.exe
  • tlaservice.exe
  • TMBMSRV.exe
  • TmCCSF.exe
  • TmListen.exe
  • TmPfw.exe
  • vapm.exe
  • winword.exe
  • ZhuDongFangYu.exe

(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

マルウェアは、実行後、自身を削除します。