トロイの木馬:PowerShell/Boxter – 削除方法 [修理]

トロイの木馬:PowerShell/Boxterの検出とは、システム上で悪意のあるPowerShellコードが検出されたことを意味します。 – PowerShellは信頼できるツールであるため、セキュリティチームが特に注意して扱う脅威のカテゴリーです。, 高度なシステムアクセス機能を備えた組み込みのWindowsスクリプト環境. PowerShellスクリプトを介して動作するマルウェアは、Windowsシステムのほぼすべての側面と相互作用することができます。, ディスクにアクセスすることなく、メモリ上でさらにコードをダウンロードして実行する, セキュリティ設定を変更する, そして、多くのセキュリティ製品がブロックするのではなく信頼するように設計されているツールを介して、複雑な多段階操作を連鎖させる。. ディフェンダーの検出は、早期に把握したいアラートです。.

トロイの木馬:PowerShell/Boxter は、Microsoft Defender Antivirus が Boxter ファミリーに属する悪意のある PowerShell スクリプトに対して発行する検出です。. Microsoft Security Intelligenceに記載されているとおり, この検出カテゴリは以下をカバーします トロイの木馬 Windowsを悪用するPowerShellスクリプトとして実装されています’ 悪意のある活動を実行するためのネイティブスクリプトインフラストラクチャ. PowerShell ベースのトロイの木馬は、攻撃者にとって、 “土地を離れて生きる” マルウェア – 外部実行ファイルではなく、信頼できるWindowsコンポーネントを使用する, これにより、従来の実行可能ファイルに焦点を当てたシグネチャベースのセキュリティツールによる検出が困難になる。.

どうやってトロイの木馬に感染したのか:PowerShell/Boxter?

PowerShellベースのトロイの木馬は、何らかのスクリプト実行トリガーを伴う経路を通じてシステムに侵入する。:

• 悪意のあるドキュメントマクロ – メールキャンペーンを通じて配布されるオフィスファイル, 受信者がマクロを有効にしている場合, PowerShellコマンドを実行してBoxterペイロードをダウンロードおよび実行します。.
• ClickFixと偽CAPTCHAを使ったソーシャルエンジニアリング – ユーザーを騙してPowerShellコマンドを直接実行させる悪質なウェブページ。実行を開いてクリップボードに読み込まれたコマンドを貼り付けるように指示する。, FakeCaptcha攻撃パターンで詳述されているように.
• 不正なソフトウェアインストーラー – 海賊版ソフトウェアや偽ユーティリティのセットアップファイルは、約束されたアプリケーションを提供する代わりに、インストール中にPowerShellスクリプトをドロップして実行します。.
• エクスプロイトによるスクリプト実行 – ブラウザまたはプラグインの脆弱性を悪用してコード実行権を取得し、それを利用してPowerShellを起動し、ユーザーの操作を一切必要とせずにペイロードを取得および実行する。.
• 合法的なツールによるファイルレス配信 – Boxterのスクリプトはmshta経由で配信される可能性があります, wscript, または、ファイルをディスクに保存せずにリモート URL から PowerShell コードを起動する他の Windows スクリプト ホスト, 検出と法医学的分析を複雑にする.

トロイの木馬とは:PowerShell/Boxter Do?

BoxterファミリーのPowerShellトロイの木馬は、スクリプト環境を利用してさまざまな悪意のある操作を実行します。:

• メモリに追加のペイロードをダウンロードして実行します。 – PowerShellベースのマルウェアの重要な機能の一つは、リモートURLからコードを取得し、ディスクにファイルを書き込むことなくメモリ上で完全に実行できることである。, ファイルベースの検出メカニズムを回避する.
• 持続性を確立する PowerShell に優しいメカニズム（レジストリベースのスクリプト起動を含む）を介して, エンコードされたコマンドパラメータを使用してPowerShellを呼び出すスケジュールされたタスク, システムイベントでスクリプトの実行をトリガーするWMIイベントサブスクリプション.
• Windows Defenderの設定を変更します – スクリプト実行ポリシーの変更を追加する, 除外パスを追加する, または、正規の PowerShell コマンドレットを使用してリアルタイム保護を無効にして、その動作への干渉を減らす。.
• システム情報と認証情報を収集します – PowerShellは.NETライブラリとWindows APIにアクセスできるため、ブラウザ認証情報の抽出を含む包括的なデータ収集が可能です。, クリップボード監視, キーストロークキャプチャ.
• ダウンローダーまたはドロッパーとして機能します 従来の実行可能マルウェアの場合, システムの準備を行う初期段階として機能し、機械上で長期的に動作する実際のペイロードを届ける。.
• システム構成を操作する – ファイアウォールルール, プロキシ設定, hostsファイルのエントリ, セキュリティポリシーの変更はすべて、十分な権限があればPowerShellを通じて実行可能です。.

トロイの木馬を削除する方法:PowerShell/Boxter?

1. すぐにインターネット接続を切断してください – PowerShellトロイの木馬は、コマンド＆コントロール通信やメモリ内ペイロード配信のために、頻繁にアクティブな接続を維持します。; 接続を切断すると、進行中のアクティビティが制限されます。.
2. ディフェンダーの推奨するアクションを受け入れる 検出アラートがまだ開いている場合 – Defenderによって警告されたPowerShellスクリプトは、無視するのではなく隔離されるべきである。.
3. ネットワーク接続ありのセーフモードで起動する – 再起動, Shiftキーを押しながら「再起動」をクリックします。, トラブルシューティングに移動 – 高度なオプション – スタートアップ設定, 押す 5. これにより、永続化メカニズムが起動時にスクリプトを再起動するのを防ぎます。.
4. フルスキャンを実行する スパイハンター セーフモードでスクリプトベースのコンポーネントを検出する, 永続化エントリ (WMIサブスクリプションとエンコードされたスケジュール済みタスクを含む), およびBoxterスクリプトによって配信される二次ペイロード.
5. PowerShellの実行ポリシーを確認する PowerShell を管理者として開き、Get-ExecutionPolicy を実行します。 – 無制限またはバイパスに変更された場合, RemoteSignedなどのより制限的な設定に戻す.
6. タスクスケジューラを確認する アクションコマンドラインにPowerShellを含むタスクの場合, 特に -EncodedCommand を使用している場合や、URL からコンテンツを取得している場合.
7. インストールされているプログラムを確認する 検出時付近で追加されたものすべてと、見慣れないエントリをアンインストールする.
8. 通常通り再起動して、2回目のスキャンを実行してください。 完全な削除を確認する. 認証情報の不正取得が疑われる場合は、クリーンなデバイスからアカウントのパスワードを変更してください。.