Kuluoz, Fakeavlock, Zortob
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
「KULUOZ」は、有名なボットネットの一部であり、2012年4月から6月頃にかけて初めて確認されました。このマルウェアのほとんどは、拡張子TXTまたはDOCのファイルを装い、正規のファイルにみせかけます。
実行されると、マルウェアは、作成された拡張子TXTのファイルを開け、ユーザから自身の不正活動を隠蔽します。
このマルウェアはまた、自身のコマンド&コントロール(C&C)サーバとの通信し、情報をコマンドを送受信します。
マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。
マルウェアは、実行後、自身を削除します。
インストール
マルウェアは、以下のファイルを作成します。
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
(註:%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。)
マルウェアは、以下のプロセスを追加します。
マルウェアは、以下のプロセスにコードを組み込みます。
他のシステム変更
マルウェアは、以下のレジストリキーを追加します。
HKEY_CURRENT_USER\SOFTWARE\{random}
マルウェアは、以下のレジストリ値を追加します。
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random}.exe"
HKEY_CURRENT_USER\SOFTWARE\{random}
{random} = "{hex values}"
バックドア活動
マルウェアは、不正リモートユーザからの以下のコマンドを実行します。
その他
マルウェアは、以下の不正なWebサイトにアクセスします。
マルウェアは、実行後、自身を削除します。
実行されると、マルウェアは、作成された拡張子TXTのファイル"{Malware Path and Filename}.txt"を開け、ユーザから自身の不正活動を隠蔽します。
トレンドマイクロのお客様:
最新のバージョン(パターンファイル および エンジン)を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型マルウェアやスクリプト系、上書き感染型ウイルス(overwriting virus)、ジョーク・プログラムなど「駆除」できないマルウェアがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。
インターネットをご利用の皆様: