BKDR_FYNLOS.WKC

2016年5月1日

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ:
バックドア型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

詳細

ファイルサイズ 464,384 bytes

タイプ EXE

メモリ常駐はい

発見日 2016年5月1日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のフォルダを作成します。

%User Temp%\IXP000.TMP
%User Profile%\Application Data\Douxc
%User Profile%\Application Data\Wour
%User Profile%\Microsoft\Address Book
%Application Data%\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\Microsoft\Outlook Express
%System Root%\Documents and Settings\Wilbert
%Application Data%\Identities
%Application Data%\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}
%Application Data%\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\Microsoft
%User Profile%\CryptnetUrlCache\MetaData
%User Profile%\Microsoft\CryptnetUrlCache
%User Profile%\CryptnetUrlCache\Content

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunOnce
wextract_cleanup0 = "rundll32.exe %System%\advpack.dll,DelNodeRunDLL32 %User Temp%\IXP000.TMP\ "

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{789EAA8B-6767-03BA-57E1-667A32C85A14} = "%User Profile%\Douxc\geas.exe "

他のシステム変更

マルウェアは、以下のファイルを削除します。

%User Profile%\Cookies\wilbert@atdmt[2].txt
%User Profile%\Cookies\wilbert@bing[2].txt
%User Profile%\Cookies\wilbert@c.atdmt[2].txt
%User Profile%\Cookies\wilbert@c.msn[2].txt
%User Profile%\Cookies\wilbert@doubleclick[1].txt
%User Profile%\Cookies\wilbert@microsoft[1].txt
%User Profile%\Cookies\wilbert@msnportal.112.2o7[1].txt
%User Profile%\Cookies\wilbert@msn[2].txt
%User Profile%\Cookies\wilbert@scorecardresearch[2].txt
%User Profile%\Cookies\wilbert@www.bing[2].txt
%User Profile%\Cookies\wilbert@www.msn[1].txt
%User Profile%\Wour\fonet.tmp

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
ImgSeg

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
ImgSeg\Recent File List

HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\
ImgSeg\Settings

HKEY_CURRENT_USER\Software\Microsoft\
Vohar

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4\Wab File Name

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Mail

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\News

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Trident\Settings

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Trident\Main

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Rules\Mail

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Privacy
CleanCookies = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Server ID = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Server ID = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Server ID = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Server ID = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Server ID = "4"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
PreConfigVer = "4"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
PreConfigVerNTDS = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
Account Name = "Active Directory"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Server = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Authentication = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Simple Search = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Bind DN = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Port = "cc4"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Resolve Flag = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Secure Connection = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP User Name = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Active Directory GC
LDAP Search Base = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
Account Name = "Bigfoot Internet Directory Service"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Server = "ldap.bigfoot.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP URL = "http://www.{BLOCKED}t.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Authentication = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Simple Search = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\Bigfoot
LDAP Logo = "%ProgramFiles%\Common Files\Services\bigfoot.bmp"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
Account Name = "VeriSign Internet Directory Service"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Server = "directory.verisign.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP URL = "http://www.{BLOCKED}gn.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Authentication = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Search Base = "NULL"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Simple Search = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\VeriSign
LDAP Logo = "%ProgramFiles%\Common Files\Services\verisign.bmp"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
Account Name = "WhoWhere Internet Directory Service"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Server = "ldap.whowhere.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP URL = "http://www.{BLOCKED}re.com"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Search Return = "64"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Timeout = "3c"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Authentication = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Simple Search = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts\WhoWhere
LDAP Logo = "%ProgramFiles%\Common Files\Services\whowhere.bmp"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager
Default LDAP Account = "Active Directory GC"

HKEY_CURRENT_USER\Software\Microsoft\
Vohar
Agtyto = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkContactRefresh = "0"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
OlkFolderRefresh = "0"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}
Identity Ordinal = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
ConnectionSettingsMigrated = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
VerStamp = "3"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
SpellDontIgnoreDBCS = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Mail
Welcome Message = "{random values}"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Mail
Accounts Checked = "{random values}"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\News
Accounts Checked = "{random values}"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
MSIMN = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Account Manager\Accounts
AssociatedID = "{random values}"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
StoreMigratedV5 = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
ConvertedToDBX = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
Settings Upgraded = "7"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Mail
Safe Attachments = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
Running = "1"

HKEY_CURRENT_USER\Software\Microsoft\
WAB\WAB4
FirstRun = "1"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0\Mail
Welcome Message = "0"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
SpoolerDlgPos = "{random values}"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
SpoolerTack = "0"

HKEY_CURRENT_USER\Identities\{8A24C031-62FE-4BF5-94F0-BFD4FBCD674B}\
Software\Microsoft\Outlook Express\
5.0
Running = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Vohar
Yhfoopiz = "{random values}"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
DE28F4A4FFE5B92FA3C503D1A349A7F9962A8212
Blob = "{random values}"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\0
1609 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
1406 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
1609 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\2
1609 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1406 = "0"

(註：変更前の上記レジストリ値は、「3」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
1609 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
1406 = "0"

(註：変更前の上記レジストリ値は、「3」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
1609 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Identities
Identity Ordinal = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
SystemCertificates\AuthRoot\Certificates\
4EFCED9C6BDD0C985CA3C7D253063C5BE6FC620C
Blob = "{random values}"