BKDR_KELIHOS.DA

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
NetworkNotifyer = "{malware path and file name}"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
PersistentLocalizedName = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
ActiveModifiedTheme = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
defaultcompressedrecord = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
LineLoadedQuick = "DCJ+geEcCv48gJZN9jyzd8URKwcyUbMwE9T6vqb6/OTL4UodRLXFTDP8EwkeLB76MQ=="

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
SizeCompletedValid = "DCJ+geEcCv48gJZN9jyzd8URKwcyUbMwE9T6vqb6/OTL4UodRLXFTDP8EwkeLB76MQ=="

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
recordmodifiedmax = "DCJ+geEcCv48gJZN9jyzd8URKwcyUbMwE9T6vqb6/OTL4UodRLXFTDP8EwkeLB76MQ=="

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
RecordEnabledCheck = "5"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
StyleModifiedPrev = "5"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
urlenableduse = "5"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
PlatformCompressedValid = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
InfoPlayedCurrent = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
User Shell Folders
flagsmodifiedvalid = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
DBSavedUse = "{random values}"

作成活動

マルウェアは、以下のファイルを作成します。

• %System Root%\tmp.exe
• %System%\Packet.dll
• %System%\wpcap.dll
• %System%\drivers\npf.sys

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.14.61
• {BLOCKED}.70.61
• {BLOCKED}51.64
• {BLOCKED}.164.65
• {BLOCKED}118.66
• {BLOCKED}0.111.90
• {BLOCKED}6.92.91
• {BLOCKED}.7.92
• {BLOCKED}.197.94
• {BLOCKED}.1.97
• {BLOCKED}195.11
• {BLOCKED}.211.11
• {BLOCKED}22.12
• {BLOCKED}67.13
• {BLOCKED}.195.13
• {BLOCKED}.195.30
• {BLOCKED}1.141.36
• {BLOCKED}.158.38
• {BLOCKED}.87.39
• {BLOCKED}.44.40
• {BLOCKED}.100.41
• {BLOCKED}.121.41
• {BLOCKED}9.83.42
• {BLOCKED}4.159.130
• {BLOCKED}4.62.132
• {BLOCKED}5.17.134
• {BLOCKED}.20.134
• {BLOCKED}.87.135
• {BLOCKED}6.199.200
• {BLOCKED}.225.200
• {BLOCKED}.114.202
• {BLOCKED}8.226.202
• {BLOCKED}.60.205
• {BLOCKED}.143.200
• {BLOCKED}.89.9
• {BLOCKED}.242.9
• {BLOCKED}0.117.10
• {BLOCKED}.138.11
• {BLOCKED}139.11
• {BLOCKED}.205.179
• {BLOCKED}90.180
• {BLOCKED}.24.182
• {BLOCKED}.177.182
• {BLOCKED}1.245.183
• {BLOCKED}.23.225
• {BLOCKED}.57.225
• {BLOCKED}.230.226
• {BLOCKED}.56.227
• {BLOCKED}.216.227
• {BLOCKED}.58.245
• {BLOCKED}191.245
• {BLOCKED}.182.246
• {BLOCKED}.196.247
• {BLOCKED}.116.249
• {BLOCKED}.46.69
• {BLOCKED}.115.69
• {BLOCKED}0.211.70
• {BLOCKED}.174.71
• {BLOCKED}.188.72

このウイルス情報は、自動解析システムにより作成されました。