• Email
• Facebook
• Twitter
• Google+
• Linkedin

BKDR_OTLARD

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

「OTLARD」の亜種は、「GOOTKIT」としても知られ、主に、不正なiframeのコードを利用してWebサイトを改ざんするために利用されます。

「OTLARD」は、コマンドモジュールをダウンロードすることにより、上記の不正活動を行います。このコマンドモジュールは、ターゲットにするWebサイトおよび関連のFTPサーバの認証情報を含んでいます。「OTLARD」は、この認証情報を利用して、Webサイトに侵入します。

「OTLARD」マルウェアのファミリは、ルートキットのコンポーネントを作成し、自身の不正なコンポーネントを隠ぺいすることでも知られています。

---

  詳細

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM
Randseed_1 = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM
Randseed_2 = "{hex values}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and filename} = "{malware path and filename}:Enabled:{malware filename}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{random}
ImagePath = "\SystemRoot\System32\drivers\{random}.sys"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Epoch
Epoch = "84"

(註：変更前の上記レジストリ値は、「82」となります。)

作成活動

マルウェアは、以下のファイルを作成します。

• %System32\drivers\{random}.sys

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• {BLOCKED}.{BLOCKED}.229.140
• {BLOCKED}n.cc
• {BLOCKED}0.org
• {BLOCKED}8quoob8moh.com
• {BLOCKED}us4nohshiy.com
• {BLOCKED}eshacei2ae.com

---

  対応方法

トレンドマイクロのお客様：

最新のバージョン（パターンファイル および エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型不正プログラムやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できない不正プログラムがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

• トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
• 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。

ご利用はいかがでしたか？　アンケートにご協力ください