BKDR_COMFOO.A

2012年10月9日

解析者: Sabrina Lei Sioting

更新者 : Karl Dominguez

プラットフォーム:

Windows 2000, XP, Server 2003

危険度:

ダメージ度:

感染力:

感染確認数:

マルウェアタイプ: バックドア型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、感染コンピュータや感染ユーザから特定の情報を収集します。

マルウェアは、他のマルウェアに作成され、コンピュータに侵入します。

詳細

ファイルサイズ 97,792 bytes

タイプ DLL

発見日 2011年4月18日

ペイロード情報収集

侵入方法

マルウェアは、以下のマルウェアに作成され、コンピュータに侵入します。

TROJ_COMFOO.A

インストール

マルウェアは、以下のファイルを作成します。

%System%\ms0ert.temp
%System%\mstemp.temp

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msobj
Type = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msobj
Start = "3"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msobj
ErrorControl = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msobj
ImagePath = "%System%\msobj.sys"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msobj
DisplayName = "msobj"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\msobj\Security
Security = "{hex values}"

作成活動

マルウェアは、以下のファイルを作成します。このファイルは、キー入力操作情報を収集するために利用されます。

%System%\ms0ert.temp

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

スクリーンショットの取得
ファイルおよびディレクトリの作成および削除
レジストリ値の追加および削除
プロセスの開始および終了

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

www.{BLOCKED}id.dns04.com
www.{BLOCKED}holas.dns04.com
{BLOCKED}id.dns04.com
{BLOCKED}at.yick.lflink.com
{BLOCKED}ar.toh.info
{BLOCKED}og.gicp.net

情報漏えい
マルウェアは、以下の情報を収集します。

OSの種類
ネットワーク情報
MACアドレス
アダプタの説明
プライマリ WINS サーバ
セカンダリ WINS サーバ
DNSサーバ
ゲートウェイ
サブネットマスク
IPアドレス
ホスト名
ユーザアカウント
ドライブ
ファイルシステムタイプ
ボリューム名
空き容量
使用容量
合計サイズ
ディスクタイプ
NetBios情報
CPUスピード
CPU名
CPU情報
CPUベンダID
CPUID
ディスプレイ名
インストール済みアプリケーション
感染コンピュータの時間
感染コンピュータの起動
Internet Explorer（IE）のBrowser Helper Object（BHO）
プロトコル情報

対応方法

対応検索エンジン: 8.900

初回 VSAPI パターンバージョン 7.982.03

初回 VSAPI パターンリリース日 2011年4月18日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

この「BKDR_COMFOO.A」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した場合は削除してください。

TROJ_COFMOO.A

RTKT_COMFOO.A

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
- msobj

手順 5

以下のファイルを検索し削除します。

[ 詳細 ]

コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。

%System%\ms0ert.temp

%System%\mstemp.temp

手順 6

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「BKDR_COMFOO.A」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください