Trend Micro Security

BKDR_MAKADOCS.JH

2012年11月27日
 別名:

Backdoor:Win32/Mizzmo.A (Microsoft); BackDoor-ERL (McAfee); Downloader (Symantec); Backdoor.Win32.Webdor.ce (Kaspersky); Trojan.Win32.Generic!BT (Sunbelt)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: バックドア型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要


マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

  詳細

ファイルサイズ 141,312 bytes
タイプ EXE
メモリ常駐 なし
発見日 2012年11月27日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\servebbs.net\
gtupdate

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\podzone.net\
updateus

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Ranges\Range22

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\podzone.net\
updatebr

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\knowsitall.info\
mainbr

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Ranges\Range25

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0030 = "SIE="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0026 = "RQ=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0027 = "QMk="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0028 = "QMk="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0017 = "QQ=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0000 = "RZhB41uSfCY="

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\servebbs.net\
gtupdate
http = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\servebbs.net\
gtupdate
https = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\podzone.net\
updateus
http = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\podzone.net\
updateus
https = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Ranges\Range22
:Range = "gtupdate.servebbs.net"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Ranges\Range22
http = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Ranges\Range22
https = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\podzone.net\
updatebr
http = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\podzone.net\
updatebr
https = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\knowsitall.info\
mainbr
http = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Domains\knowsitall.info\
mainbr
https = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Ranges\Range25
:Range = "72.83.229.11:443"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Ranges\Range25
http = "2"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
ZoneMap\Ranges\Range25
https = "2"

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0001 = "Rstc7graKCIO2pD2"

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0002 = "BIkWt02Rb2MZhM6jgSqeJMtnqTs="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0003 = "Fo0Hpl2VbnUZh8S1jSCSI5Ynoiog"

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0004 = "BIkWt02ReGIZhM6jgSqeJMtnqTs="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0005 = "HJgbuFuGNHtZm9a0kjGRLYknpSEycQ=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0006 = "Rstc7graKCIO2pD2wXHEcg=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0007 = "N6s3kw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0008 = "N6s3kw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0009 = "N6s3kw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0010 = "N6s3kw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0011 = "N6s3kw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0012 = "N6s3kw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0013 = "N6s3kw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0014 = "N6s3kw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0015 = "N6s3kw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0016 = "N6s3kw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0018 = "PJARpFaHdXZD1PaulSGfNpYplB90TjvIZzh+f+boOzGaCOUEzh/XFcFZ4UEzxY9WUWW/UlkqbKs3rC/Blg=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0019 = "Rw=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0021 = "JrA+lHymTj10w5CGvQbC"

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0020 = "JpAetFyGbg=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0023 = "MsMukna3T11yipCbrCycI4B7uBMYUQrmTQ5zPdPTMD2G"

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0031 = "MsMugXC6Xl9gp/20gjaEJIg6/hM3cy2JZCVo"

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0032 = "QA=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0033 = "QQ=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0022 = "JrA+lHymTj10w5CGvQbC"

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0034 = "QA=="

HKEY_CURRENT_USER\Software\Microsoft\
NetGetXP\Options
0x0666 = "QQ=="

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\2
Flags = "43"

(註：変更前の上記レジストリ値は、「47」となります。)

このウイルス情報は、自動解析システムにより作成されました。

  対応方法

対応検索エンジン: 9.300

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP
    • Options
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\servebbs.net
    • gtupdate
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\podzone.net
    • updateus
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges
    • Range22
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\podzone.net
    • updatebr
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\knowsitall.info
    • mainbr
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges
    • Range25

手順 3

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0030 = "SIE="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0026 = "RQ=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0027 = "QMk="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0028 = "QMk="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0017 = "QQ=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0000 = "RZhB41uSfCY="
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\servebbs.net\gtupdate
    • http = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\servebbs.net\gtupdate
    • https = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\podzone.net\updateus
    • http = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\podzone.net\updateus
    • https = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range22
    • :Range = "gtupdate.servebbs.net"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range22
    • http = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range22
    • https = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\podzone.net\updatebr
    • http = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\podzone.net\updatebr
    • https = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\knowsitall.info\mainbr
    • http = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\knowsitall.info\mainbr
    • https = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range25
    • :Range = "72.83.229.11:443"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range25
    • http = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Ranges\Range25
    • https = "2"
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0001 = "Rstc7graKCIO2pD2"
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0002 = "BIkWt02Rb2MZhM6jgSqeJMtnqTs="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0003 = "Fo0Hpl2VbnUZh8S1jSCSI5Ynoiog"
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0004 = "BIkWt02ReGIZhM6jgSqeJMtnqTs="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0005 = "HJgbuFuGNHtZm9a0kjGRLYknpSEycQ=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0006 = "Rstc7graKCIO2pD2wXHEcg=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0007 = "N6s3kw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0008 = "N6s3kw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0009 = "N6s3kw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0010 = "N6s3kw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0011 = "N6s3kw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0012 = "N6s3kw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0013 = "N6s3kw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0014 = "N6s3kw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0015 = "N6s3kw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0016 = "N6s3kw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0018 = "PJARpFaHdXZD1PaulSGfNpYplB90TjvIZzh+f+boOzGaCOUEzh/XFcFZ4UEzxY9WUWW/UlkqbKs3rC/Blg=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0019 = "Rw=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0021 = "JrA+lHymTj10w5CGvQbC"
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0020 = "JpAetFyGbg=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0023 = "MsMukna3T11yipCbrCycI4B7uBMYUQrmTQ5zPdPTMD2G"
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0031 = "MsMugXC6Xl9gp/20gjaEJIg6/hM3cy2JZCVo"
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0032 = "QA=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0033 = "QQ=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0022 = "JrA+lHymTj10w5CGvQbC"
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0034 = "QA=="
  • In HKEY_CURRENT_USER\Software\Microsoft\NetGetXP\Options
    • 0x0666 = "QQ=="

手順 4

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\2
    • From: Flags = "43"
      To: Flags = ""47""

手順 5

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「BKDR_MAKADOCS.JH」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください