MUTOPY
Rodecap
Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)
マルウェアタイプ:
トロイの木馬型
破壊活動の有無:
なし
暗号化:
感染報告の有無 :
はい
概要
「Rodecap」としても知られる「Mutopy」は、他のマルウェアをダウンロードするために利用されるトロイの木馬型マルウェアのファミリです。マルウェアはまた、自身のコピーの作成する方法をランダム化するため、セキュリティ対策製品よる感染コンピュータの駆除が困難になります。
詳細
インストール
マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %AppDataLocal%\{filename}
- %Application Data%\{filename}
- %Application Data%\Microsoft\{filename}
- %ProgramData%\{filename}
- %System Root%\Users\All Users\{filename}
- %System Root%\Users\All Users\Microsoft\{filename}
- %System%\drivers\{filename}
- %User Profile%\AppData\Local\Microsoft\{filename}
- %User Profile%\Local Settings\Application Data\{filename}
- %User Profile%\Local Settings\Application Data\Microsoft\{filename}
- %User Temp%\{filename}
- %Windows%\{filename}
- %Windows%\System\{filename}
(註:%AppDataLocal%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local" です。. %Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\<ユーザ名>\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Roaming" です。. %ProgramData%フォルダは、Windows Vista および 7 の場合、通常、"C:\ProgramData"、Windows 2000、XP (32ビット)、Server 2003 の場合、"C:\Program Files"、Windows XP (64ビット) の場合、"C:\Program Files (x86)" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\<ユーザ名>"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)
マルウェアは、以下の無害なファイルを作成します。
- %User Temp%\Twain002.Mtx
(註:%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
マルウェアは、以下のフォルダを作成します。
- %User Temp%\~NwcTemp
- %User Temp%\~NwcTemp\conh09
(註:%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
{value} = "{dropped copy}"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
{value} = "{dropped copy}"
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
{value} = "{dropped copy}"
HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Policies\
Explorer\Run
{value} = "{dropped copy}"
HKEY_CURRENT_USER\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Policies\Explorer\Run
{value} = "{dropped copy}"
HKEY_CURRENT_USER\.DEFAULT\Software\
Microsoft\Windows\CurrentVersion\
Policies\Explorer\Run
{value} = "{dropped copy}"
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を変更します。
HKEY_CURRENT_USER\Software\Microsoft\
Windows NT\CurrentVersion\Windows
{value} = "{dropped copy}"
(註:変更前の上記レジストリ値は、「{blank}」となります。)
ダウンロード活動
マルウェアは、以下のファイル名でダウンロードしたファイルを保存します。
- %User Temp%\~NwcTemp\conh09\conhost.exe
(註:%User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\<ユーザー名>\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\<ユーザ名>\AppData\Local\Temp" です。)
その他
マルウェアは、以下の不正なWebサイトにアクセスします。
- http://{BLOCKED}al.store-apps.org/d/conh09.jpg
作成されたコピーの"{filename}"には以下のいずれかが当てはまります。
- cisvc.exe
- clipsrv.exe
- cmstp.exe
- comrepl.exe
- csrss.exe
- dllhost.exe
- dllhst3g.exe
- esentutl.exe
- ieudinit.exe
- logman.exe
- mqtgsvc.exe
- mstinit.exe
- mstsc.exe
- rsvp.exe
- sessmgr.exe
- spoolsv.exe
- wininit.exe
- winlogon.exe
追加されたレジストリ値の"{value}"には以下のいずれかが当てはまります。
- Cisvc
- ClipSrv
- CmSTP
- ComRepl
- DllHost3g
- DllHst
- Esent Utl
- IEudinit
- Logman
- Microsoft RSVP
- MqtgSVC
- MstInit
- Mstsc
- SessMgr
- Spool
- Spooler
- WinInit
- cisvc
- cisvc
- rsvp
- run
対応方法
トレンドマイクロのお客様:
最新のバージョン(パターンファイル および エンジン)を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型マルウェアやスクリプト系、上書き感染型ウイルス(overwriting virus)、ジョーク・プログラムなど「駆除」できないマルウェアがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。
インターネットをご利用の皆様:
- トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
- 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ(ISP)向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。
ご利用はいかがでしたか? アンケートにご協力ください