Trojan.BAT.KILLAV.BD
Windows
- マルウェアタイプ: トロイの木馬型
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のプロセスを追加します。
- "%Program Files%\Malwarebytes' Anti-Malware\unins000.exe" /verysilent /suppressmsgboxes /norestart
- "%Program Files%\Malwarebytes' Anti-Malware\unins000.exe" /verysilent /suppressmsgboxes /norestart
- powershell.exe Add-MpPreference -ExclusionPath C:\, C:\Windows
(註:%Program Files%フォルダは、デフォルトのプログラムファイルフォルダです。C:\Program Files in Windows 2000(32-bit)、Server 2003(32-bit)、XP、Vista(64-bit)、7、8、8.1、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files"です。また、Windows XP(64-bit)、Vista(64-bit)、7(64-bit)、8(64-bit)、8.1(64-bit)、2008(64-bit)、2012(64-bit)、10(64-bit)の場合、通常 "C:\Program Files(x86)" です。)
他のシステム変更
マルウェアは、以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
C:\ = 0
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows Defender\Exclusions\Paths
C:\Windows\ = 0
マルウェアは、以下のレジストリ値を変更します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\WinDefend
Start = 4
(註:変更前の上記レジストリ値は、「2」となります。)
HKEY_LOCAL_MACHINE\Software\Policies\
Microsoft\Windows Defender
DisableAntiSpyware = 1
(註:変更前の上記レジストリ値は、「0」となります。)
プロセスの終了
マルウェアは、感染コンピュータ上で確認した以下のサービスを終了します。
- acronisagent
- acrsch2svc
- Apache2
- BackupExecRPCService
- cbvscservice11
- cobianbackup 11
- dcevt32
- dcstor32
- firebirdguardiandefaultinstance
- hMailServer
- IASJet
- IBM Domino Diagnostics (CProgramFilesIBMDomino)
- IBM Domino Server (CProgramFilesIBMDominodata)
- ibmiasrw
- IISADMIN
- klactprx
- kladminserver
- klnagent
- klwebsrv
- ksnproxy
- Lotus Domino Server (LotusDominoData)
- Lotus Notes Single Logon
- mms
- mr2kserv
- MSExchangeADTopology
- MSExchangeFBA
- MSExchangeIS
- MSExchangeSA
- mssqlfdlauncher
- MSSQLServerADHelper100
- omsad
- PostgreSQL Database Server 8.0
- QBCFMonitorService
- QBPOSDBServiceV12
- QBVSS
- QuickBooksDB21
- QuickBooksDB22
- QuickBooksDB23
- QuickBooksDB24
- QuickBooksDB25
- QuickBooksDB26
- QuickBooksDB27
- QuickBooksDB28
- server Administrator
- ShadowProtectSvc
- Simply Accounting Database Connection Manager
- SPAdminV4
- SPSearch4
- SPTimerV4
- SPTraceV4
- SPUserCodeV4
- SPWriterV4
- SPXService
- sqlbrowser
- stc_endpt_svc
- StorageCraft ImageManager
- teamviewer
- VSNAPVSS
- wbengine
- WinDefend
- wrsvc
マルウェアは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。
- *SQL*
- agent*
- apach*
- avp*
- avpsus*
- b1*
- ba*
- bd2*
- be*
- be*
- bes10*
- black*
- cbservi*
- cbvscservi*
- db*
- hMailServer*
- IBM*
- Kaspersky Endpoint Security 10 for Windows*
- Kaspersky Seamless Update Service*
- Kaspersky Security Center Network Agent*
- Kaspersky Security Center Vulnerability Assessment*
- klnagent*
- mysql*
- nservice.exe
- nslsvice.exe
- ntrtscan.exe
- oracle*
- pg_ctl.exe
- postg*
- QB*
- sage*
- sap*
- sql*
- store.exe
- team*
- vapm*
- vee*
- veea*
- wbengine*
- wrsa.exe
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths
- C:\ = 0
- C:\ = 0
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths
- C:\Windows\ = 0
- C:\Windows\ = 0
手順 3
変更されたレジストリ値を修正します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
事前に意図的に対象の設定を変更していた場合は、意図するオリジナルの設定に戻してください。変更する値が分からない場合は、システム管理者にお尋ねいただき、レジストリの編集はお客様の責任として行なって頂くようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\WinDefend
- From: Start = "4"
To: Start = 2
- From: Start = "4"
- In HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows Defender
- From: DisableAntiSpyware = "0"
To: DisableAntiSpyware = 1
- From: DisableAntiSpyware = "0"
手順 4
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.BAT.KILLAV.BD」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください