BKDR_PLUGX
Microsoft: Plugx; Symantec: Korplug; Sophos: PlugX; Fortinet: PLUGX; Ikarus: Plugx; Eset: Korplug
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
マルウェアタイプ:
バックドア型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
概要
「PLUGX」は、政府関連機関や主要産業を対象とした標的型攻撃で利用される「Remote Access Tool（RAT）」です。マルウェアは、「Poison Ivy」と同様の手法で利用されており、2008年のキャンペーンに関連していました。
マルウェアにより、不正リモートユーザは、ユーザの許可や権限なしにコンピュータ上で不正活動や情報窃取活動を実行することができます。
- ファイルのコピーや作成、改変、開封
- キー入力操作情報およびアクティブウィンドウの記録
- 現在のユーザのログオフおよび感染したコンピュータの再起動およびリブート
- レジストリ値の作成や改変、削除
- ユーザアクティビティの動画やスクリーンショットのキャプチャ
- 接続の設定
- プロセスの終了
コンピュータのセキュリティ侵害に加えて、コンピュータがチェックを受けていないままでいる場合、このマルウェアの不正活動により。さらなる情報窃取に見舞われる可能性があります。マルウェアにより、攻撃者はコンピュータを完全に制御することができます。
詳細
インストール
マルウェアは、以下の無害なファイルを作成します。
- %AppDataLocal%\VirtualStore\Program Files\Common Files\NvSmart.exe
- %AppDataLocal%\VirtualStore\Windows\system32\NvSmart.exe
- %ProgramData%\Gf\NvSmart.exe
- %ProgramData%\SxS\NvSmart.exe
- %ProgramData%\SxS\rc.exe
- %ProgramData%\SxSi\rc.exe
- %System Root%\Users\All Users\Gf\NvSmart.exe
- %System Root%\Users\All Users\SxS\NvSmart.exe
- %System Root%\Users\All Users\SxS\rc.exe
- %System Root%\Users\All Users\SxSi\rc.exe
- %System Root%\Users\All Users\UdpGf\NvSmart.exe
(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
マルウェアは、以下のフォルダを作成します。
- %ProgramData%\Gf
- %ProgramData%\SxS
- %ProgramData%\SxSi
- %System Root%\Users\All Users\Gf
- %System Root%\Users\All Users\SxS
- %System Root%\Users\All Users\SxSi
- %System Root%\Users\All Users\UdpGf
(註：%ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
自動実行方法
マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Gf
Description = "Gf"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Gf
DisplayName = "Gf"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Gf
ErrorControl = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Gf
ImagePath = ""%ProgramData%\Gf\NvSmart.exe" 200 0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Gf
ObjectName = "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Gf
Start = "2"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Gf
Type = "110"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SxS
Description = "SxS"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SxS
DisplayName = "SxS"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SxS
ErrorControl = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SxS
ImagePath = ""%ProgramData%\SxS\rc.exe" 200 0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SxS
ObjectName = "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SxS
Start = "2"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SxS
Type = "110"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UdpGf
Description = "UdpGf"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UdpGf
Description = "UdpGf"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UdpGf
DisplayName = "UdpGf"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UdpGf
ErrorControl = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UdpGf
ImagePath = ""%ProgramData%\UdpGf\NvSmart.exe" 200 0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UdpGf
ObjectName = "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UdpGf
Start = "2"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UdpGf
Type = "110"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SxSi
Description = "SxSi"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SxSi
DisplayName = "SxSi"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SxSi
ErrorControl = "0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SxSi
ImagePath = "%ProgramData%\SxSi\rc.exe" 200 0"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SxSi
ObjectName = "LocalSystem"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SxSi
Start = "2"
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
services\SxSi
Type = "110"
マルウェアは、自身をシステムサービスとして登録し、Windows起動時に自動実行されるよう以下のレジストリキーを追加します。
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Gf
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SxS
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\UdpGf
他のシステム変更
マルウェアは、インストールの過程で、以下のレジストリ値を追加します。
HKEY_CLASSES_ROOT\FAST
CLSID = "{hex values}"
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
FAST
CLSID = "{hex values}"
マルウェアは、インストールの過程で、以下のレジストリキーを追加します。
HKEY_CLASSES_ROOT\FAST
HKEY_LOCAL_MACHINE\SOFTWARE\Classes\
FAST
作成活動
マルウェアは、以下のファイルを作成します。
- %AppDataLocal%\VirtualStore\Program Files\Common Files\NvSmartMax.dll
- %AppDataLocal%\VirtualStore\Program Files\Common Files\boot.ldr
- %AppDataLocal%\VirtualStore\Windows\system32\NvSmartMax.dll
- %AppDataLocal%\VirtualStore\Windows\system32\boot.ldr
- %ProgramData%\Gf\NvSmartMax.dll
- %ProgramData%\Gf\boot.ldr
- %ProgramData%\SxS\NvSmartMax.dll
- %ProgramData%\SxS\rc.hlp
- %ProgramData%\SxS\rcdll.dll
- %ProgramData%\SxSi\rc.hlp
- %ProgramData%\SxSi\rcdll.dll
- %System Root%\Users\All Users\Gf\NvSmartMax.dll
- %System Root%\Users\All Users\Gf\boot.ldr
- %System Root%\Users\All Users\SxS\NvSmartMax.dll
- %System Root%\Users\All Users\SxS\rc.hlp
- %System Root%\Users\All Users\SxS\rcdll.dll
- %System Root%\Users\All Users\SxSi\rc.hlp
- %System Root%\Users\All Users\SxSi\rcdll.dll
- %System Root%\Users\All Users\UdpGf\NvSmart.usr
- %System Root%\Users\All Users\UdpGf\NvSmartMax.dll
(註：%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local" です。. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %System Root%フォルダは、オペレーティングシステム(OS)が存在する場所で、いずれのOSでも通常、 "C:" です。.)
その他
マルウェアは、以下の不正なWebサイトにアクセスします。
- http://{BLOCKED}r.{BLOCKED}ctme.net/update?id=00107f08
- {BLOCKED}y.{BLOCKED}-show.org
- {BLOCKED}bb.{BLOCKED}s.in
- {BLOCKED}l.{BLOCKED}2.us:80
- {BLOCKED}sUpdated.{BLOCKED}n.com
- http://{BLOCKED}.{BLOCKED}.0.1:12345/update?id=00108490
- http://{BLOCKED}.{BLOCKED}.0.1:12345/update?id=00133f60
- http://{BLOCKED}ntral.{BLOCKED}ind.net/update?id=00133f60
- http://{BLOCKED}lasia.{BLOCKED}focus.com:53/update?id=00108150
- http://{BLOCKED}l.{BLOCKED}huu.com/update?id=00133fa0
- http://{BLOCKED}r.{BLOCKED}ctme.net/update?id=00107f08
- http://{BLOCKED}ia.{BLOCKED}focus.com:8080/update?id=00108150
- http://{BLOCKED}ia.{BLOCKED}ind.net:8080/update?id=00133f60
- http://{BLOCKED}n.{BLOCKED}huu.com:53/update?id=00133fa0
- http://{BLOCKED}r.{BLOCKED}5.com:8080/update?id=00108108
- http://{BLOCKED}ul.{BLOCKED}c.net/update?id=00108150
- http://{BLOCKED}k.{BLOCKED}3.com:53/update?id=00108cf0
- http://{BLOCKED}a.{BLOCKED}focus.com:53/update?id=00133f60
- http://{BLOCKED}r.{BLOCKED}ctme.net/update?id=00107f08
対応方法
トレンドマイクロのお客様：
最新のバージョン（パターンファイル および エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型マルウェアやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できないマルウェアがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。
インターネットをご利用の皆様：
- トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
- 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。
ご利用はいかがでしたか？ アンケートにご協力ください