Trend Micro Security

BKDR_TDSS.ASH

2012年10月9日
 解析者: Sabrina Lei Sioting   
 更新者 : kathleenno
 別名:

Trojan-Dropper.Win32.TDSS.anzf (Kaspersky); Trojan horse Cryptic.CWA (AVG)

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: バックドア型
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要


マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

  詳細

ファイルサイズ 147,968 bytes
タイプ EXE
発見日 2011年5月26日
ペイロード ファイルの変更, URLまたはIPアドレスに接続

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

  • WORM_OTORUN.ASH

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

  • http://{BLOCKED}.162.20/service/scripts/files/aff_50045.dll
  • http://{BLOCKED}123.34/service/scripts/files/aff_50045.dll
  • http://{BLOCKED}9.88.7/X

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • Creates the mutex Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08 if the path of the executable file does not contain any of the following strings
    • explo
    • firefox
    • opera
    • safari
    • netsc
    • avant
    • browser
    • mozill
    • wuauclt
  • Global\3006345f-6baf-4669-a7e1-aaa310564be9
  • Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08
  • Global\a68d7de8-eba6-4a54-90e0-9cb9d93b3ed7
  • Global\cc51461b-e32a-4883-8e97-e0706dc65415
  • Global\452fefe0-a06e-400f-8d6b-6a12a0a09d4b

他のシステム変更

マルウェアは、以下のファイルを削除します。

  • %System%\drivers\etc\hosts

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\GloballyOpenPorts\
List
67:UDP = "67:UDP:EnabledHCP Server"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\main\FeatureControl\
FEATURE_BROWSER_EMULATION
{executable name} = "{hex value}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
maxhttpredirects = "{hex value}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
enablehttp1_1 = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
zones\3
1601 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
zones\3
1400 = "0"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Internet Explorer\International
acceptlanguage = "{local}"

(註：変更前の上記レジストリ値は、「{user defined}」となります。)

マルウェアは、以下のレジストリ値を削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters
DhcpNameServer = "{Preferred DNS}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters
DhcpDomain = "localdomain"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpNameServer = "{Preferred DNS}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpDefaultGateway = "{Default Gateway}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpDomain = "localdomain"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpSubnetMaskOpt = "{Subnet Mask}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Adapter ID}\Parameters\
Tcpip
DhcpDefaultGateway = "{Default Gateway}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Adapter ID}\Parameters\
Tcpip
DhcpSubnetMaskOpt = "{Subnet Mask}"

バックドア活動

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • http://{BLOCKED}update.com
  • http://{BLOCKED}9.88.8/spr.dll - detected as WORM_OTORUN.ASH

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • http://{BLOCKED}.{BLOCKED}.193.171/
  • http://{BLOCKED}i813ck.com/
  • http://{BLOCKED}yt0.com/
  • http://{BLOCKED}ckl1i1i.com/
  • http://{BLOCKED}uke.com/
  • http://{BLOCKED}cho.com/
  • http://{BLOCKED}o81.com/
  • http://{BLOCKED}o81.com/
  • https://{BLOCKED}b6.com/
  • https://{BLOCKED}im1.com/
  • https://{BLOCKED}i71.com/
  • https://{BLOCKED}ka.in/
  • https://{BLOCKED}anno.com/

  対応方法

対応検索エンジン: 8.900
初回 VSAPI パターンバージョン 8.182.06
初回 VSAPI パターンリリース日 2011年5月26日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

この「BKDR_TDSS.ASH」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した場合は削除してください。

手順 3

Master Boot Record（MBR）を修復します。

Master Boot Record（MBR）の修復：

  1. Windows のインストールCDを使用して、コンピュータを再起動します。
  2. [セットアップへようこそ] 画面で、修復の R キーを押します。
    （註： Windows2000 の場合、Rキーを入力後 C キーを入力し、[修復オプション]から[回復コンソール]を選択します。）
  3. 修復する Windows がインストールされているドライブを選択します（通常は "1" を選択します）。.
  4. 管理者のパスワードを入力し、Enter キーを押します。管理者パスワードがない場合は、何も入力せずに Enter キーを押します。
  5. コマンドプロンプトに、上記で確認したマルウェアが検出されたドライブ名を入力します。
  6. 以下のコマンドを入力し、Enter キーを押します。
    fixmbr ＜感染したドライブ＞
    ※"FIXMBR" と "＜感染したドライブ＞" の間に半角スペースを入れてください。
    ※"＜感染したドライブ＞" とは、このマルウェアが感染したブータブル・ドライブのことです。ドライブが特定できない場合、プライマリ・ブート・ドライブにあるマスター・ブート・レコードが上書きされている可能性があります。
  7. コマンドプロンプトに EXIT と入力し、コンピュータを再起動してください。

手順 4

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List
    • 67:UDP = 67:UDP:EnabledHCP Server
  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\main\FeatureControl\FEATURE_BROWSER_EMULATION
    • {executable name} = {hex value}
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
    • maxhttpredirects = {hex value}
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
    • enablehttp1_1 = 1

手順 5

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\zones\3
    • From: 1601 = 0
      To: 1601 = 1
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\zones\3
    • From: 1400 = 0
      To: 1400 = 0
  • In HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\International
    • From: acceptlanguage = {local}
      To: acceptlanguage = {user defined}

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「BKDR_TDSS.ASH」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 7

以下のファイルをバックアップを用いて修復します。なお、マイクロソフト製品に関連したファイルのみ修復されます。このマルウェア／グレイウェア／スパイウェアが同社製品以外のプログラムをも削除した場合には、該当プログラムを再度インストールする必要があります。

  • %System%\drivers\etc\hosts

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters
DhcpNameServer = {Preferred DNS}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters
DhcpDomain = localdomain

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpNameServer = {Preferred DNS}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpDefaultGateway = {Default Gateway}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpDomain = localdomain

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\Tcpip\Parameters\
Interfaces\{Adapter ID}
DhcpSubnetMaskOpt = {Subnet Mask}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Adapter ID}\Parameters\
Tcpip
DhcpDefaultGateway = {Default Gateway}

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\{Adapter ID}\Parameters\
Tcpip
DhcpSubnetMaskOpt = {Subnet Mask}


ご利用はいかがでしたか？　アンケートにご協力ください

関連マルウェア