BKDR_KULUOZ.SMAL

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。

マルウェアは、韓国の旅客船沈没事故を題材にした、ソーシャルエンジニアリングを用いた不正なスパムメールに添付されています。2014年4月に確認されたこのマルウェアは、不正リモートユーザからコマンドを受信して実行することが確認されています。このマルウェアに感染したコンピュータのユーザは、コンピュータ改ざんの被害を受ける可能性があります。

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。 マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、他のマルウェアもしくはグレイウェア、または不正リモートユーザによるスパムメールに添付され、コンピュータに侵入します。

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• svchost.exe

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• 2GVWNQJz1

マルウェアは、以下のプロセスにコードを組み込みます。

• created svchost.exe

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random}.exe"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\{random}
{random} = "{hex values}"

マルウェアは、インストールの過程で、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{random}

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• Set system to idle/sleep
• Download and run/execute other files
• Remove/Uninstall itself
• Update copy of the injected code to svchost.exe
• Update copy of itself
• Check malware version and terminate execution of older version

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}3.27:443/{generated value}
• http://{BLOCKED}5.89:8080/{generated value}
• http://{BLOCKED}.58/{generated value}

その他

マルウェアが実行するコマンドは、以下のとおりです。

• コンピュータをアイドル／スリープに設定
• 他のファイルのダウンロードおよび実行
• 自身の削除／アンインストール
• "svchost.exe"に挿入されたコードのコピーの更新
• 自身のコピーの更新
• マルウェアのバージョンを確認し、古いバージョンの実行を終了

マルウェアは、以下の名前を持つ実行中ウィンドウが存在するか確認します。

• 99929D61-1338-48B1-9433-D42A1D94F0D2
• 99929D61-1338-48B1-9433-D42A1D94F0D2-x32
• 99929D61-1338-48B1-9433-D42A1D94F0D2-x64
• APISpy32Class
• Dumper
• Dumper64
• Iris - Version 5.59
• PROCEXPL
• PROCMON_WINDOW_CLASS
• ProcessHacker
• ProcessLasso_Notification_Class
• SharedIntApp.exe
• TSystemExplorerTrayForm.UnicodeClass
• Tfrmrpcap
• VBoxService.exe
• VBoxTray.exe
• VMwareDragDetWndClass
• VMwareSwitchUserControlClass
• WdcWindow
• iptools.exe
• prl_cc.exe
• prl_tools.exe
• vmsrvc.exe
• vmtoolsd.exe
• vmusrvc.exe
• wireshark.exe

「{generated value}」は、ユーザ名、ローカルIP、実行中のデバッガ、マルウェアのビルド日およびバージョンに基づく値です。

マルウェアは、仮想環境で実行されている場合、以下のレジストリ情報を取得するため、Service DiskやBIOSを確認します。

• VMware
• PTLTD
• Virtual
• VBOX
• AMIBI