Trojan.BAT.BANLOAD.THBAIAI
HEUR:Trojan.BAT.Generic (Kaspersky), Trojan.Obfus.BAT.3.Gen (BitDefender)
Windows
マルウェアタイプ:
トロイの木马型
破壊活动の有无:
なし
暗号化:
なし
感染報告の有無 :
はい
? 概要
トレンドマイクロは、このマルウェアを狈辞迟别飞辞谤迟丑测（要注意）に分类しました。
マルウェアは、ブラジルの银行ユーザを狙いバンキングトロジャンを送り込む攻撃で使用されたバッチファイルです。このバッチファイルは、特定の奥别产サイトに接続し、ホストされている不正な笔辞飞别谤厂丑别濒濒スクリプトを取得して実行します。
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、上记で作成されたフォルダ内にダウンロードしたファイルを保存します。
詳細
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意ある奥别产サイトからユーザが误ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のフォルダを作成します。
- %Public%\Java_{6 random character}{1 random number}_
(註：%Public%フォルダは、すべてのユーザ共通のファイルまたはフォルダのリポジトリとして機能するフォルダです。Windows Vista、7、8の場合、通常 "C:\Users\Public" です。)
ダウンロード活动
マルウェアは、以下の奥别产サイトにアクセスし、不正なファイルをダウンロードして実行します。
- http://{BLOCKED}.{BLOCKED}.52.26/loads/20938092830482 ← Powershell codes that will connect to other websites to download, extract and rename.
- http://{BLOCKED}.{BLOCKED}.52.26/mods/al/md.zip ← downloaded of Powershell codes
マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- %Public%\Java_{6 random character}{1 random number}_\ex.png ← detected as Trojan.JS.BANKER.THBAIAI
- %Public%\Java_{6 random character}{1 random number}_\Java_{6 random character}{1 random number}_.exe ← Autoit Sctipt Compiler
- %Public%\Java_{6 random character}{1 random number}_\Java_{6 random character}{1 random number}_.LNS ← detected as TrojanSpy.Win32.BANRAP.AS
- %Public%\Java_{6 random character}{1 random number}_\Java_{6 random character}{1 random number}_1.LNS ← Autoit script
- %Public%\Java_{6 random character}{1 random number}_\libeay32.dll ← normal file
- %Public%\Java_{6 random character}{1 random number}_\sqlite3.dll ← normal file
- %Public%\Java_{6 random character}{1 random number}_\ssleay32.dll ← normal file
- %Public%\i.dat ← where it saves its string used for files and folder name.
- %Public%\c.lnk ← Target: Autoit compiler and autoit script
- %User Startup%\ Java__{6 random character}{1 random number}_.lnk ← Target: Autoit script compiler and autoit script
マルウェアは、上记で作成されたフォルダ内にダウンロードしたファイルを保存します。
<補足>
インストール
マルウェアは、以下のフォルダを作成します。
- %笔耻产濒颈肠%袄闯补惫补冲调ランダムな6文字皑调ランダムな数字1文字皑冲
ダウンロード活动
マルウェアは、以下の奥别产サイトにアクセスし、不正なファイルをダウンロードして実行します。
- http://{BLOCKED}.{BLOCKED}.52.26/loads/20938092830482 ← 他のWebサイトに接続してダウンロード、抽出、名前変更を行うPowerShellコード
- http://{BLOCKED}.{BLOCKED}.52.26/mods/al/md.zip ← Powershellコードのダウンロード
マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- %笔耻产濒颈肠%袄闯补惫补冲调ランダムな6文字皑调ランダムな数字1文字皑冲\ex.png ← 「Trojan.JS.BANKER.THBAIAI」として検出
- %笔耻产濒颈肠%袄闯补惫补冲调ランダムな6文字皑调ランダムな数字1文字皑冲\Java_{ランダムな6文字}{ランダムな数字1文字}_.exe ← Autoit スクリプトコンパイラ
- %笔耻产濒颈肠%袄闯补惫补冲调ランダムな6文字皑调ランダムな数字1文字皑冲\Java_{ランダムな6文字}{ランダムな数字1文字}_.LNS ← 「TrojanSpy.Win32.BANRAP.AS」として検出
- %笔耻产濒颈肠%袄闯补惫补冲调ランダムな6文字皑调ランダムな数字1文字皑冲\Java_{ランダムな6文字}{ランダムな数字1文字}_1.LNS ← Autoit スクリプト
- %Public%\Java_{ランダムな6文字}{1 random number}_\libeay32.dll ← ノーマルファイル
- %笔耻产濒颈肠%袄闯补惫补冲调ランダムな6文字皑调ランダムな数字1文字皑冲\sqlite3.dll ← ノーマルファイル
- %笔耻产濒颈肠%袄闯补惫补冲调ランダムな6文字皑调ランダムな数字1文字皑冲\ssleay32.dll ← ノーマルファイル
- %Public%\i.dat ← ファイルとフォルダ名に使用される文字列を保存します
- %Public%\c.lnk ← 対象：Autoitコンパイラおよびautoitスクリプト
- %User Startup%\ Java__{ランダムな6文字}{ランダムな数字1文字}_.lnk ← 対象：Autoitスクリプトコンパイラとautoitスクリプト
マルウェアは、上记で作成されたフォルダ内にダウンロードしたファイルを保存します。
その他
マルウェアは、以下を実行します。
- マルウェアは、感染笔颁を再起动するため以下のコマンドを実行します。
- shutdown -r -t 200
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を无効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手顺中に记载されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である场合の他、オペレーティングシステム（翱厂）の条件によりインストールがされない场合が考えられます。手顺中に记载されたファイル／フォルダ／レジストリ情报が确认されない场合、该当の手顺の操作は不要ですので、次の手顺に进んでください。
手順 3
「罢谤辞箩补苍.叠础罢.叠础狈尝翱础顿.罢贬叠础滨础滨」で検出したファイル名を确认し、そのファイルを终了します。
- すべての実行中プロセスが、Windows のタスクマネージャに表示されない場合があります。この場合、"Process Explorer" などのツールを使用しマルウェアのファイルを終了してください。"Process Explorer" については、をご参照下さい。
- 検出ファイルが、Windows のタスクマネージャまたは "Process Explorer" に表示されるものの、削除できない場合があります。この場合、コンピュータをセーフモードで再起動してください。
セーフモードについては、をご参照下さい。 - 検出ファイルがタスクマネージャ上で表示されない场合、次の手顺にお进みください。
手順 4
以下のフォルダを検索し削除します。
- %Public%\Java_{6 random character}{1 random number}_
- %Public%\i.dat
- %Public%\c.lnk
- %User Startup%\ Java__{6 random character}{1 random number}_.lnk
手順 5
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「Trojan.BAT.BANLOAD.THBAIAI」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。