TROJ_KULUOZ

「KULUOZ」は、2012年4月から6月にかけて初めて広く確認された、有名なボットネットの一部となるマルウェアです。ほとんどの「KULUOZ」の亜種は、".TXT"や".DOC"のファイルを装っており、自身を正規なものに見せかけています。

実行されると、マルウェアは、作成された無害なTXTファイルを開き、ユーザから自身の不正活動を隠ぺいします。

また、マルウェアは、自身のコマンド＆コントロール（C&C）サーバへアクセスし、情報やコマンドの送受信を行います。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、実行後、自身を削除します。

インストール

マルウェアは、以下のファイルを作成します。

• {Malware Path and Filename}.txt

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• Svchost.exe

マルウェアは、以下のプロセスにコードを組み込みます。

• Created svchost.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\{random}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random}.exe"

HKEY_CURRENT_USER\SOFTWARE\{random}
{random} = "{hex values}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• idl- Sleep / Idle
• run- Download and execute arbitrary file
• rem- Uninstall itself
• rdl- Update copy of injected code in svchost and add encrypted code to registry
• upd- Update copy of main malware
• red- Check latest malware version

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.66.217:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.16.68:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.203.58:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.103.54:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.156.180:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.132.24:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.224.202:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.112.7:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.63.194:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.178.174:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.131.132:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.189.234:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.241.208:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.60.166:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.145.174:6667/{generated value}
• http://{BLOCKED}.{BLOCKED}.10.68:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.220.148:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.81.166:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.115.171:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.49.145:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.248.152:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.204.228:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.159.166:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.22.146:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.22.38:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.50.161:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.89.231:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.20.202:8080/{generated value}

マルウェアは、実行後、自身を削除します。

マルウェアが実行するコマンドは、以下のとおりです。

• idl- スリープ／アイドル
• run- 任意のファイルのダウンロードおよび実行
• rem- 自身のアンインストール
• rdl- "svchost"に挿入されたコードのコピーの更新およびレジストリへの暗号化されたコードの追加
• upd- メインとなるマルウェアのコピーの更新
• red- 最新のマルウェアバージョンの確認