マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。
侵入方法
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、以下のファイルを作成します。
- %WINDOWS%\$NtUninstallKB080515$\Usblog_DXM.log
マルウェアは、以下のフォルダを作成します。
- %WINDOWS%\$NtUninstallKB080515$
他のシステム変更
マルウェアは、以下のファイルを削除します。
- {Malware Path}\msvidc161.dll
- %System%\winmm16.dll
(註:%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)
マルウェアは、以下のレジストリ値を追加します。
HKEY_CLASSES_ROOT\exefile
NeverShowExt = "0"
マルウェアは、以下のレジストリ値を変更します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "0"
(註:変更前の上記レジストリ値は、「1」となります。)
HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = "1"
(註:変更前の上記レジストリ値は、「0」となります。)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced\Folder\Hidden\
SHOWALL
CheckValue = "0"
(註:変更前の上記レジストリ値は、「1」となります。)
バックドア活動
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
- Get Malware Information
- Update Itself
- Update C&C servers/IP Information
- Perform sleep command
- File Manipulation (View added files, Rename, Delete, Check filetype, Modify, Change attiributes, Change filetime, Copy)
- Directory Manipulation (Change Current, Add, View directories)
- Reboot and Disconnect
- Perform shell command
- View System Informations (Mac Address, Computer Name, Wan/Local IP, Disk Information, Display Mode, CPU Information, Path of System Directory, OS Inofrmation, Drive Information, Malware Uptime)
- Load other modules
- Execute a program (with option as Administrator)
- List IPs
- List/Disconnect TCP Connections
- List/Kill Processes
- Download File
- Upload File
- Enumerate/Install Services
- Load keylogging module (mskb32.dll)
マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。
- {BLOCKED}.{BLOCKED}.204.62
- {BLOCKED}.{BLOCKED}.102.244
- {BLOCKED}.{BLOCKED}.103.42
- {BLOCKED}.{BLOCKED}.10.239
- {BLOCKED}.{BLOCKED}.145.118
- {BLOCKED}i89.{BLOCKED}s.info
- http://{BLOCKED}02.{BLOCKED}z.info/dxj
その他
マルウェアは、ファイル "%System%\winmm.dll" のファイル名を "%System%\winmm16.dll" に変更します。そして以下として自身のコピーを作成します。
またマルウェアは、ファイル "%System%\winmm.DLL" のファイル名を "%System%\winmm16.DLL" に変更します。そして以下として自身のコピーを作成します。
マルウェアは、コンピュータに挿入されたリムーバブルドライブから、以下のフォーマットを持つファイルをコピーします。
コピーしたファイルは、フォルダ "%SystemRoot%\$NtUninstallKB080515$" に保存されます。このファイルは、その後リモートコマンドによって取得されます。
マルウェアは実行するコマンドは、以下のとおりです。
- マルウェアに関する情報の取得
- 自身の更新
- コマンド&コントロール(C&C)サーバ/IPアドレスに関する情報の更新
- スリープコマンドの実行
- ファイルの操作(追加されたファイルの閲覧、ファイルの改称、ファイルの削除、ファイルタイプの確認、ファイルの変更、属性の変更、ファイルのタイムスタンプの変更、ファイルのコピー)
- ディレクトリの操作(カレントの変更、ディレクトリの追加、ディレクトリの閲覧)
- 再起動および停止
- シェルコマンドの実行
- コンピュータに関する情報の閲覧(Macアドレス、コンピュータ名、WAN IPまたはローカルのIP、ディスクの情報、表示モード、CPU情報、システムディレクトリのパス、オペレーティングシステム(OS)の情報、ドライブの情報、マルウェアの稼働時間)
- 他のモジュールの読み込み
- プログラムの実行(管理者として選択した場合)
- IPの表示
- TCP接続の表示/停止
- プロセスの表示/終了
- ファイルのダウンロード
- ファイルの更新
- サービスの列挙/インストール
- キー入力操作情報のためのモジュール "skb32.dll" の読み込み
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このレジストリ値を削除します。
[ 詳細 ]
[ 戻る ]
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CLASSES_ROOT\exefile
このマルウェアが追加したレジストリ値の削除:
- 「レジストリエディタ」を起動します。
[スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
※regedit は半角英数字で入力する必要があります(大文字/小文字は区別されません)。 - 「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CLASSES_ROOT>exefile - 右側のパネルで以下のレジストリ値を検索し、削除します。
NeverShowExt = "0" - 「レジストリエディタ」を閉じます。
手順 3
変更されたレジストリ値を修正します。
[ 詳細 ]
[ 戻る ]
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: Hidden = "0"
To: Hidden = "1"
- In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
- From: HideFileExt = "1"
To: HideFileExt = "0"
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL
- From: CheckValue = "0"
To: CheckValue = "1"
このマルウェアが変更したレジストリ値の修正:
- 「レジストリエディタ」を起動します。
[スタート]-[ファイル名を指定して実行]を選択し、"regedit" と入力し、[OK]をクリックします。
※"regedit" は半角英数字で入力する必要があります(大文字/小文字は区別されません)。 - レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Explorer>Advanced - 右側のパネルで以下のレジストリ値を検索します。
Hidden = "0" - [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
Hidden = "1" - 再び、右側のパネルで以下のレジストリ値を検索します。
HideFileExt = "1" - [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
HideFileExt = "0" - レジストリエディタの左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Microsoft>Windows>CurrentVersion>Explorer>Advanced>Folder>Hidden>SHOWALL - 右側のパネルで以下のレジストリ値を検索します。
CheckValue = "0" - [値の名前]上で右クリックし、[修正]または[変更]を選択します。[文字列の編集]ダイアログボックスが表示されたら、[値のデータ]を以下に変更します。
CheckValue = "1" - レジストリエディタを閉じます。
手順 4
以下のフォルダを検索し削除します。
[ 詳細 ]
[ 戻る ]
フォルダが隠しフォルダ属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。
- %WINDOWS%\$NtUninstallKB080515$\
このマルウェアまたはアドウェア等が作成したフォルダの削除:
Windows 2000、XP および Server 2003 の場合: - [スタート]-[検索]-[ファイルとフォルダすべて]を選択します。
- [ファイル名のすべてまたは一部]に、以下のフォルダ名を入力してください。
- %WINDOWS%\$NtUninstallKB080515$\
- [探す場所]の一覧から[マイコンピュータ]を選択し、[検索]を押します。
- 検索が終了したら、フォルダを選択し、SHIFT+DELETE を押します。これにより、フォルダが完全に削除されます。
- 残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.)から 4.)を繰り返してください。
Windows Vista および 7 の場合: - [スタート]をクリックします。
- [プログラムとファイルの検索]に、以下を入力します。
- %WINDOWS%\$NtUninstallKB080515$\
- 検索が終了したら、フォルダを選択し、SHIFT+DELETE を押して削除します。これにより、フォルダが完全に削除されます。
- 残りのフォルダに対して、このマルウェアまたはアドウェア等が作成したフォルダの削除の手順 2.)から 3.)を繰り返してください。
註:Windows 7 において上記の手順が正しく行われない場合、マイクロソフトのWebサイトをご確認ください。
手順 5
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「BKDR_TENGO.A」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
手順 6
以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア/グレイウェア/スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。
- {Malware Path}\msvidc161.dll
- %System%\winmm16.dll
- %System%\winmm.dll
ご利用はいかがでしたか? アンケートにご協力ください