BKDR_KELIHOS

「KELIHOS」は、2010年に最初に確認されたボットネットです。「KELIHOS」は、主に他のマルウェアのスパムメールを介した拡散のために利用されます。スパムメールの送信に加えて、なかには、電子マネー「Bitcoin（ビットコイン）」の「マイニング（採掘）」や、分散型サービス拒否（DDoS）攻撃を実行する亜種もあります。

インストール

マルウェアは、以下の不正なファイルまたはコンポーネントを追加します。

• {All User's Profile}\Application Data\boost_interprocess\{Date and Time of infection}\GoogleImpl

マルウェアは、以下のフォルダを作成します。

• %System Root%\All Users\Application Data\boost_interprocess
• %System Root%\All Users\Application Data\boost_interprocess\{current date and time}

(註：%System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
SmartIndex = "{malware path and file name}"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Google

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Google
ID = "50"

HKEY_CURRENT_USER\Software\Google
ID2 = "{random values}"

HKEY_CURRENT_USER\Software\Google
ID3 = "{random values}"

HKEY_CURRENT_USER\Software\Google
AppID = "{random characters}"

マルウェアは、以下のレジストリ値を作成し、Windowsのファイアウォールを回避します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and file name} = "{malware path and file name}:*:Enabled:{file name}"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.185.46/vYho/w5/pMSeoeJQF.htm