BKDR_KELIHOS.YUO

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
NetworkNotifyer = "{malware path and file name}"

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
persistentLocalizedName = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
ActiveModifiedTheme = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
DefaultCompressedRecord = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
lineLoadedQuick = "DFA6Xwh6St9kUKkfD/VL3j1k4aINwhKK9/3UJDehqwX4W0lSsQWZGQ491yTRjy4Uow=="

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
SizeCompletedValid = "DFA6Xwh6St9kUKkfD/VL3j1k4aINwhKK9/3UJDehqwX4W0lSsQWZGQ491yTRjy4Uow=="

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
RecordModifiedMax = "DFA6Xwh6St9kUKkfD/VL3j1k4aINwhKK9/3UJDehqwX4W0lSsQWZGQ491yTRjy4Uow=="

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
recordEnabledCheck = "5"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
StyleModifiedPrev = "5"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
UrlEnabledUse = "5"

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
platformCompressedValid = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
InfoPlayedCurrent = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Shell Folders
FlagsModifiedValid = "{random values}"

HKEY_CURRENT_USER\Software\Microsoft\
Notepad
dBSavedUse = "{random values}"

作成活動

マルウェアは、以下のファイルを作成します。

• %System Root%\tmp.exe
• %System%\Packet.dll
• %System%\wpcap.dll
• %System%\drivers\npf.sys

(註：%System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.124.48
• {BLOCKED}.133.48
• {BLOCKED}.20.50
• {BLOCKED}65.50
• {BLOCKED}4.66.50
• {BLOCKED}0.1
• {BLOCKED}.215.121
• {BLOCKED}.44.122
• {BLOCKED}.234.122
• {BLOCKED}8.240.122
• {BLOCKED}15.123
• {BLOCKED}2.17.27
• {BLOCKED}.252.27
• {BLOCKED}.192.28
• {BLOCKED}197.28
• {BLOCKED}67.29
• {BLOCKED}.223.217
• {BLOCKED}.108.218
• {BLOCKED}.197.218
• {BLOCKED}235.220
• {BLOCKED}62.221
• {BLOCKED}7.19.212
• {BLOCKED}.87.212
• {BLOCKED}54.213
• {BLOCKED}7.95.214
• {BLOCKED}177.214
• {BLOCKED}157.104
• {BLOCKED}1.176.104
• {BLOCKED}.184.105
• {BLOCKED}.122.106
• {BLOCKED}0.182.106
• {BLOCKED}.36.252
• {BLOCKED}.46.252
• {BLOCKED}55.252
• {BLOCKED}9.109.254
• {BLOCKED}.236.255
• {BLOCKED}.209.227
• {BLOCKED}234.227
• {BLOCKED}0.142.228
• {BLOCKED}167.228
• {BLOCKED}225.228
• {BLOCKED}137.234
• {BLOCKED}246.234
• {BLOCKED}.254.234
• {BLOCKED}.194.235
• {BLOCKED}.215.236
• {BLOCKED}81.178
• {BLOCKED}.81.178
• {BLOCKED}2.85.178
• {BLOCKED}.54.179
• {BLOCKED}207.180
• {BLOCKED}0.26.128
• {BLOCKED}.98.129
• {BLOCKED}4.159.130
• {BLOCKED}.107.131
• {BLOCKED}.147.131
• {BLOCKED}0.187.112
• {BLOCKED}.115.114
• {BLOCKED}.129.114
• {BLOCKED}.153.114
• {BLOCKED}.168.114
• {BLOCKED}.41.166
• {BLOCKED}.106.166
• {BLOCKED}.130.166
• {BLOCKED}221.167
• {BLOCKED}.114.170

このウイルス情報は、自動解析システムにより作成されました。