解析者: RonJay Kristoffer Caragay   
 別名:

Backdoor:Win32/Kelihos (Microsoft); Trojan.Win32.Kelihos (Ikarus); Win32/Kelihos.G (ESET-NOD32); Backdoor.Win32.Hlux.dca (Kaspersky)

 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    バックドア型

  • 破壊活動の有無:
    なし

  • 暗号化:
     

  • 感染報告の有無 :
    はい

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 1,067,508 bytes
タイプ EXE
メモリ常駐 はい
発見日 2015年7月13日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random parameter 1}{random parameter 2} = "{malware path and file name}"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • http://{BLOCKED}.{BLOCKED}.29.224/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.200.111/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.52.170/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.180.254/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.108.55/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.154.233/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.153.121/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.104.29/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.63.95/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.56.114/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.156.245/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.183.215/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.143.94/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.183.146/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.95.215/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.149.19/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.221.220/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.49.92/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.233.235/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.250.47/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.130.68/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.165.58/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.198.141/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.96.211/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.87.243/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.190.126/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.252.67/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.202.53/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.68.92/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.67.27/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.73.217/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.169.207/{URI}.htm
  • http://{BLOCKED}.{BLOCKED}.104.231/{URI}.htm
  • where {URI} can be any of the following:
    • file
    • online
    • main
    • start
    • install
    • login
    • setup
    • welcome
    • search
    • home
    • default
    • index

その他

上記の”{URI}”には、以下のいずれかが当てはまります。

  • file
  • online
  • main
  • start
  • install
  • login
  • setup
  • welcome
  • search
  • home
  • default
  • index

自動実行レジストリの”{random parameter 1}”には以下のいずれかが当てはまります。

  • Network
  • Time
  • CrashReport
  • Database
  • Icon
  • Desktop
  • Tray
  • Video
  • Media

  対応方法

対応検索エンジン: 9.750
VSAPI OPR パターンバージョン 11.779.00
VSAPI OPR パターンリリース日 2015年7月9日

トレンドマイクロのお客様：

    最新のバージョン（パターンファイル および エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型マルウェアやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できないマルウェアがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

  • トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
  • 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。


ご利用はいかがでしたか？　アンケートにご協力ください