BKDR_KULUOZ.PFG

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、有名な運送会社や航空会社からの納品受領証を装います。

関連情報については、以下のブログ記事をご参照ください。

• 運送会社や航空会社からのメールを装う「BKDR_KULUOZ」

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、以下の方法でコンピュータに侵入します。

• spammed email message that disguises as receipt from the following postal/delivery services and airline ticketing system:
  
  Delta Airlines
  American Airlines
  Deutsche Post
  FedEx
  UPS

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• svchost.exe

マルウェアは、以下のプロセスにコードを組み込みます。

• created svchost.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random}.exe"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\{random}

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\{random}
{random} = "{hex values}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• idl|Sleep / Idle
• run|Download and Execute Arbitrary file
• rem|Uninstall itself
• rdl|Update copy of injected code in svchost and add encrypted code to registry
• upd|Update copy of main malware
• red|Check latest malware version

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.132.24:8080/{generated value}
• {BLOCKED}.{BLOCKED}.224.202:8080/{generated value}
• {BLOCKED}.{BLOCKED}.63.194:8080/{generated value}
• {BLOCKED}.{BLOCKED}.178.174:8080/{generated value}
• {BLOCKED}.{BLOCKED}.10.68:8080/{generated value}
• {BLOCKED}.{BLOCKED}.81.166:8080/{generated value}
• {BLOCKED}.{BLOCKED}.159.166:8080/{generated value}
• {BLOCKED}.{BLOCKED}.22.146:8080/{generated value}
• {BLOCKED}.{BLOCKED}.50.161:8080/{generated value}
• {BLOCKED}.{BLOCKED}.20.202:8080/{generated value}

マルウェアが実行するコマンドは以下のとおりです。

• idl|スリープ／アイドル
• run|任意のファイルのダウンロードおよび実行
• rem|自身のアンイストール
• rdl|"svchost" 内に挿入されたコードコピーの更新およびレジストリに暗号化されたコードの追加
• upd|メインとなるマルウェアのコピーの更新
• red|最新バージョンのマルウェアの確認

マルウェアは、以下の運送会社や航空会社からの納品受領証を装ったスパムメールとしてコンピュータに侵入します。

• Delta Airlines
• American Airlines
• Deutsche Post
• FedEx
• UPS

マルウェアがコードを埋め込むプロセスは以下のとおりです。

• 作成された "svchost.exe"