BKDR_TDSS.KARU

トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。その理由として、このマルウェアが、自身を隠蔽するルートキット機能を備えた「TDSS」ファミリの新亜種「TDL4」である点が挙げられます。マルウェアは、「マスター・ブート・レコード（MBR）」の変更やユーザのインターネット使用状況の監視といった不正活動をします。また、マルウェアは、他の不正なファイルをダウンロードし、感染コンピュータのセキュリティをさらなる脅威にさらします。

マルウェアは、 Mutex を作成し、メモリ上で自身の重複実行を避けます。

マルウェアは、ユーザのインターネット使用状況を監視し、ユーザが閲覧するWebサイトのアドレスに特定の文字列が含まれている場合には、この情報を特定のWebサイトに送信します。

マルウェアは、ユーザが検索エンジンで検索する際、検索エンジンから返ってくる検索結果を変更し、ユーザに不正なリンクをクリックさせたり、広告を表示したりします。

マルウェアは、感染コンピュータのMBRを変更し、OSが読み込まれる前に自身が実行されるようにします。

マルウェアは、特定Webサイトにアクセスします。そして、他の不正なファイルをダウンロードしたり、広告を表示したりします。

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

• WORM_OTORUN.ASH

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

• http://{BLOCKED}.112.139/service/scripts/files/aff_{parameter}.dll

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• Global\3006345f-6baf-4669-a7e1-aaa310564be9
• Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08
• Global\a68d7de8-eba6-4a54-90e0-9cb9d93b3ed7
• Global\cc51461b-e32a-4883-8e97-e0706dc65415
• Global\452fefe0-a06e-400f-8d6b-6a12a0a09d4b
• Creates the mutex Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08 if the path of the executable file does not contain any of the following strings:
  • explo
  • firefox
  • chrome
  • opera
  • safari
  • netsc
  • avant
  • browser
  • mozill
  • wuauclt

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\main\FeatureControl\
FEATURE_BROWSER_EMULATION
{executable name} = "8888"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
maxhttpredirects = "8888"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
enablehttp1_1 = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
zones\3
1601 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
zones\3
1400 = "0"

(註：変更前の上記レジストリ値は、「{user-defined} 」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Internet Explorer\International
acceptlanguage = "{local}"

(註：変更前の上記レジストリ値は、「{user defined}」となります。)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

• https://{BLOCKED}mak01.com/
• https://{BLOCKED}agcla.com/
• https://{BLOCKED}akq8x.com/
• http://{BLOCKED}1come.com/
• http://{BLOCKED}otcom.com/
• http://{BLOCKED}1kf-a.com/
• http://{BLOCKED}apcell.com/
• http://{BLOCKED}-acom.com/
• https://{BLOCKED}anno.com/
• https://{BLOCKED}im1.com/
• https://{BLOCKED}i71.com/
• https://{BLOCKED}ka.in/
• https://{BLOCKED}b6.com/
• http://{BLOCKED}cho.com/
• http://{BLOCKED}yt0.com/
• http://{BLOCKED}o81.com/
• http://{BLOCKED}o81.com/
• http://{BLOCKED}uke.com/
• http://{BLOCKED}i813ck.com/
• http://{BLOCKED}ckl1i1i.com/
• http://{BLOCKED}.193.171/
• http://{BLOCKED}.193.138/xxxx_{random number}/

マルウェアは、ユーザのインターネット使用状況を監視し、ユーザが閲覧するWebサイトのアドレスに以下の文字列が含まれている場合には、この情報を上述のWebサイトに送信します。また、マルウェアは、ユーザが検索エンジンで検索する際、検索エンジンから返ってくる検索結果を変更し、ユーザに不正なリンクをクリックさせたり、広告を表示したりします。

• .aol.
• .lycos.
• .search.com
• 2mdn.net
• 66.235.120.66
• 66.235.120.67
• abmr.net
• about.com
• adbureau.net
• adrevolver.com
• alexa.com
• alltheinternet.com
• alltheweb.com
• altavista.com
• aolcdn.com
• ask.com
• atdmt.com
• bing.
• blinkx.com
• compete.com
• conduit.com
• cuil.com
• dogpile.com
• doubleclick.net
• edgesuite.net
• entireweb.com
• everesttech.net
• exalead.com
• excite.com
• firmserve.com
• gigablast.com
• google
• gstatic.com
• infospace.com
• ivwbox.
• iwon.com
• live.com
• lygo.com
• mamma.com
• metacrawler.com
• msn.com
• mytalkingbuddy.com
• othersonline.com
• powerset.net
• scorecardresearch.com
• superpages.com
• tribalfusion.com
• virtualearth.net
• wazizu.com
• webcrawler.com
• worthathousandwords.com
• yahoo
• yieldmanager.com
• yimg.com
• ytimg.com

マルウェアは、感染コンピュータのMBRを変更し、OSが読み込まれる前に自身が実行されるようにします。

マルウェアは、ハードディスクの末尾に以下のファイルを書き込み、自身のコンポーネントファイルを隠ぺいします。

• \?\globalroot\{random}\cfg.ini - このマルウェアのボット機能の設定を含む
• \?\globalroot\{random}\bckfg.tmp - 環境設定ファイルのバックアップコピー
• \?\globalroot\{random}\mbr - MBR内に書き込まれ、"\?\globalroot\{random}\ldr16" を実行するコード。
• \?\globalroot\{random}\ldr16 - OSが起動している間、マルウェアが読み込むコンポーネント。
  OSにより、"\?\globalroot\{random}\ldr32" または "\?\globalroot\{random}\ldr64" を実行
• \?\globalroot\{random}\ldr32 - 「TROJ_TDSS.KARUL」として検出。
  マルウェアは、このファイルを利用し、システムライブラリ "kdcom.dll" を複製することにより、OSがクラッシュすることなく起動し続けるようにする。
• \?\globalroot\{random}\ldr64 - 「TROJ_TDSS.KARUL」として検出。
  マルウェアは、このファイルを利用し、システムライブラリ "kdcom.dll" を複製することにより、OSがクラッシュすることなく起動し続けるようにする。
• \?\globalroot\{random}\drv32 - 「RTKT_TDSS.KARUD」として検出。
  マルウェアは、このコンポーネントを利用して自身の不正活動を隠ぺいし、MBRの感染を確実にする。
• \?\globalroot\{random}\drv64 - 「RTKT_TDSS.KARUD」として検出。
  マルウェアは、このコンポーネントを利用して自身の不正活動を隠ぺいし、MBRの感染を確実にする。
• \?\globalroot\{random}\cmd.dll - このマルウェアとして検出
• \?\globalroot\{random}\cmd64.dll - このマルウェアとして検出

マルウェアは、上述のWebサイトにアクセスします。そして、他の不正なファイルをダウンロードしたり、広告を表示したりします。

マルウエアは、実行ファイルのパスが以下のいずれかの文字列を含まない場合、Mutex「Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08」を作成します。

• explo
• firefox
• chrome
• opera
• safari
• netsc
• avant
• browser
• mozill
• wuauclt