トロイの木馬:PowerShell/PowDow – それを削除する方法 [解決しました]

トロイの木馬とは:PowerShell/PowDow?

Microsoft Defenderがトロイの木馬を検出しました:PowerShell/PowDowとアラートはPowerShellコンテキストを指している可能性があります, 起動するたびに検出が繰り返される, あるいは、この脅威が何をするのか、そしてそれを完全に除去する方法を理解したい場合. 手動操作を行う前に、このガイドをよくお読みください。.

トロイの木馬:PowerShell/PowDow は、PowerShell ベースの Microsoft Defender による検出です。 トロイの木馬 Microsoft Security Intelligenceによって文書化された、複数の変異株が確認されているファミリー – パウダーを含む!MTB, パウダー.DA!MTB, Powdow.DAA!MTB, Powdow.HBS!MTB, Powdow.MBB!MTB, および Powdow.HNBX!MTB – 公開 2020 と 2025. マイクロソフトによるDAAの脅威説明!MTB亜種は、ソーシャルエンジニアリングを用いてユーザーを騙し、感染した添付ファイルを開かせるフィッシングメールを介してデバイスに侵入すると具体的に述べている。, そして、システムの脆弱性を悪用してアクセス権と制御権を取得するPowerShellスクリプトを実行します。. 追加の悪意のあるファイルをダウンロードします, 検出を回避するために正規のシステムプロセスを模倣する. マイクロソフトは、PowDowのすべての亜種は、悪意のある攻撃者が選択したさまざまなアクションを実行できると説明しています。. この検出はPowerShell AMSIのコンテキストで頻繁に発生します。, マイクロソフトQのユーザー&フォーラムの報告によると、再起動するたびに警告が再び表示されるとのことです。 – スケジュールされたタスクまたはその他の永続化メカニズムが、再起動のたびに悪意のあるPowerShellスクリプトを再起動することを示す文書化された兆候.

どうやってトロイの木馬に感染したのか:PowerShell/PowDow?

• 悪意のある添付ファイル付きのフィッシングメール – Microsoft Security Intelligenceは、フィッシングが主な配信経路であることを確認した。: 説得力のあるフォーマットのメールは、文書や添付ファイルを提示します。, 開いたとき, システムの脆弱性を悪用するPowerShellスクリプトを実行する.
• ソーシャルエンジニアリングを通じて配信された悪意のあるスクリプト – PowDowファミリーは、ユーザーを騙して最初のスクリプトを実行させるために、ソーシャルエンジニアリングの手法を具体的に利用しています。 – 偽造請求書, 発送通知, または、PowerShellペイロードを起動するマクロを含むOfficeファイル.
• 非公式の無料ダウンロードを含むソフトウェアのバンドル – サードパーティサイトからの無料プログラムが、PowDowコンポーネントをバンドルされた追加機能としてインストールします。 ソフトウェアのバンドル, PowerShellの実行は、セットアップ中またはセットアップ後にサイレントに行われます。.
• クラックされたソフトウェアまたは海賊版アプリケーションインストーラー – クラックされたアプリケーションパッケージとキー生成ツールは、セットアップ中に埋め込まれたPowerShellスクリプトを実行し、クラックされたソフトウェアとともにPowDowペイロードをインストールします。.

トロイの木馬とは:PowerShell/PowDow Do?

• システムの脆弱性を悪用するPowerShellスクリプトを実行します。 – マイクロソフトはこれを具体的に文書化している: PowDowはPowerShellコマンドを実行してシステムの脆弱性を悪用します。, 標準的な実行型トロイの木馬よりも深いアクセスと制御権を獲得する. PowerShellは信頼できるWindowsコンポーネントです, コマンドをブロックしにくくする.
• 追加の悪意のあるファイルやプログラムをダウンロードします – マイクロソフトは、トロイの木馬がアクセス確立後に追加の悪意のあるコンポーネントをダウンロードすることを確認した。, 感染連鎖を最初のPowerShellスクリプトを超えて拡大する.
• 検出を回避するために正規のシステムプロセスを模倣する – マイクロソフトは、PowDowが正規のシステムプロセスを装っていることを特に指摘している。, 専用ツールなしではタスクマネージャーでの手動識別が著しく困難になる.
• 起動時に毎回 PowerShell を呼び出すスケジュールされたタスクを通じて継続する – Microsoft Qに関するコミュニティからの報告&再起動のたびにアラートが返されることを確認してください。. 永続化メカニズムは、悪意のあるPowerShellコマンドを再起動するスケジュールされたタスクまたはスタートアップレジストリエントリです。, そのため、Defenderの警告は、削除したように見えても起動時に繰り返し表示されます。.
• 攻撃者が選択した操作をデバイス上で実行する – PowDowのすべての亜種は、悪意のある攻撃者が選択した様々な動作を実行できることがMicrosoftによって文書化されている。, 認証情報の窃盗を含む可能性もある, リモートアクセス, さらにマルウェアのインストールも行われます。.

トロイの木馬を削除する方法:PowerShell/PowDow [解決しました]

• PowerShell自体を削除しないでください – この警告は、PowerShell を介して実行される悪意のあるスクリプトを対象としています。, PowerShell実行ファイルではない. PowerShellを削除すると、Windowsのコア機能が壊れてしまう。.
• タスクスケジューラをすぐに開く – 「ファイル名を指定して実行」から taskschd.msc を開き、アクション タブに PowerShell コマンドが含まれているタスクを探します。, 特に難読化されたテキストを含むもの, Base64エンコードされた文字列, ウェブリクエスト (Invoke-WebRequest または IWR), またはダウンロードコマンド. 悪意のあるタスクを削除します – これはほぼ常に繰り返し発生する警告の原因です.
• レジストリのスタートアップキーを確認する – レジストリエディタを開き、Software の下にある HKCU と HKLM を確認します。, マイクロソフト, ウィンドウズ, 現行版, 疑わしい引数で PowerShell を起動するエントリに対して実行します. 認識されていないエントリはすべて削除してください, 意図的にインストールされたアプリケーション.
• Microsoft Defender オフラインスキャンを実行する – Windowsセキュリティを開く, 次に、ウイルスおよび脅威対策, 次にスキャンオプション, 次に、Microsoft Defender オフライン スキャンを実行します。. これはWindowsの起動前に実行され、標準スキャンでは検出されないコンポーネントを検出できます。.
• Defenderの定義を更新し、フルスキャンを実行してください。 – マイクロソフトは、定義の更新とフルスキャンを実行することで、最初の検出後に残った残存ファイルやシステム変更に対処できることを確認した。.
• セカンドオピニオン検査を実施する – SpyHunterまたはMalwarebytesを使用して、削除前にスケジュールされたタスクが既に展開している可能性のある追加のダウンロード済みコンポーネントを検出します。.

詳しい手順については、この記事の下にある完全削除ガイドをご覧ください。.