Trend Micro Security

BKDR_TDSS.KARU

2011年4月8日
 解析者: Karl Dominguez   
 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: バックドア型
  • 破壊活動の有無: なし
  • 暗号化: はい
  • 感染報告の有無: はい

  概要


トレンドマイクロは、このマルウェアをNoteworthy（要注意）に分類しました。その理由として、このマルウェアが、自身を隠蔽するルートキット機能を備えた「TDSS」ファミリの新亜種「TDL4」である点が挙げられます。マルウェアは、「マスター・ブート・レコード（MBR）」の変更やユーザのインターネット使用状況の監視といった不正活動をします。また、マルウェアは、他の不正なファイルをダウンロードし、感染コンピュータのセキュリティをさらなる脅威にさらします。

マルウェアは、 Mutex を作成し、メモリ上で自身の重複実行を避けます。

マルウェアは、ユーザのインターネット使用状況を監視し、ユーザが閲覧するWebサイトのアドレスに特定の文字列が含まれている場合には、この情報を特定のWebサイトに送信します。

マルウェアは、ユーザが検索エンジンで検索する際、検索エンジンから返ってくる検索結果を変更し、ユーザに不正なリンクをクリックさせたり、広告を表示したりします。

マルウェアは、感染コンピュータのMBRを変更し、OSが読み込まれる前に自身が実行されるようにします。

マルウェアは、特定Webサイトにアクセスします。そして、他の不正なファイルをダウンロードしたり、広告を表示したりします。

マルウェアは、リモートサイトから他のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

マルウェアは、特定のWebサイトにアクセスし、情報を送受信します。

  詳細

ファイルサイズ 143,360 bytes
タイプ DLL
発見日 2011年4月6日
ペイロード ファイルのダウンロード, ファイルの作成

侵入方法

マルウェアは、リモートサイトから以下のマルウェアまたはグレイウェアにダウンロードされ、コンピュータに侵入します。

  • WORM_OTORUN.ASH

マルウェアは、以下のリモートサイトからダウンロードされコンピュータに侵入します。

  • http://{BLOCKED}.112.139/service/scripts/files/aff_{parameter}.dll

インストール

マルウェアは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • Global\3006345f-6baf-4669-a7e1-aaa310564be9
  • Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08
  • Global\a68d7de8-eba6-4a54-90e0-9cb9d93b3ed7
  • Global\cc51461b-e32a-4883-8e97-e0706dc65415
  • Global\452fefe0-a06e-400f-8d6b-6a12a0a09d4b
  • Creates the mutex Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08 if the path of the executable file does not contain any of the following strings:
    • explo
    • firefox
    • chrome
    • opera
    • safari
    • netsc
    • avant
    • browser
    • mozill
    • wuauclt

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\main\FeatureControl\
FEATURE_BROWSER_EMULATION
{executable name} = "8888"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
maxhttpredirects = "8888"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
enablehttp1_1 = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
zones\3
1601 = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
zones\3
1400 = "0"

(註：変更前の上記レジストリ値は、「{user-defined} 」となります。)

HKEY_USERS\.DEFAULT\Software\
Microsoft\Internet Explorer\International
acceptlanguage = "{local}"

(註：変更前の上記レジストリ値は、「{user defined}」となります。)

その他

マルウェアは、以下のWebサイトにアクセスし、情報を送受信します。

  • https://{BLOCKED}mak01.com/
  • https://{BLOCKED}agcla.com/
  • https://{BLOCKED}akq8x.com/
  • http://{BLOCKED}1come.com/
  • http://{BLOCKED}otcom.com/
  • http://{BLOCKED}1kf-a.com/
  • http://{BLOCKED}apcell.com/
  • http://{BLOCKED}-acom.com/
  • https://{BLOCKED}anno.com/
  • https://{BLOCKED}im1.com/
  • https://{BLOCKED}i71.com/
  • https://{BLOCKED}ka.in/
  • https://{BLOCKED}b6.com/
  • http://{BLOCKED}cho.com/
  • http://{BLOCKED}yt0.com/
  • http://{BLOCKED}o81.com/
  • http://{BLOCKED}o81.com/
  • http://{BLOCKED}uke.com/
  • http://{BLOCKED}i813ck.com/
  • http://{BLOCKED}ckl1i1i.com/
  • http://{BLOCKED}.193.171/
  • http://{BLOCKED}.193.138/xxxx_{random number}/

マルウェアは、ユーザのインターネット使用状況を監視し、ユーザが閲覧するWebサイトのアドレスに以下の文字列が含まれている場合には、この情報を上述のWebサイトに送信します。また、マルウェアは、ユーザが検索エンジンで検索する際、検索エンジンから返ってくる検索結果を変更し、ユーザに不正なリンクをクリックさせたり、広告を表示したりします。

  • .aol.
  • .lycos.
  • .search.com
  • 2mdn.net
  • 66.235.120.66
  • 66.235.120.67
  • abmr.net
  • about.com
  • adbureau.net
  • adrevolver.com
  • alexa.com
  • alltheinternet.com
  • alltheweb.com
  • altavista.com
  • aolcdn.com
  • ask.com
  • atdmt.com
  • bing.
  • blinkx.com
  • compete.com
  • conduit.com
  • cuil.com
  • dogpile.com
  • doubleclick.net
  • edgesuite.net
  • entireweb.com
  • everesttech.net
  • exalead.com
  • excite.com
  • firmserve.com
  • gigablast.com
  • google
  • gstatic.com
  • infospace.com
  • ivwbox.
  • iwon.com
  • live.com
  • lygo.com
  • mamma.com
  • metacrawler.com
  • msn.com
  • mytalkingbuddy.com
  • othersonline.com
  • powerset.net
  • scorecardresearch.com
  • superpages.com
  • tribalfusion.com
  • virtualearth.net
  • wazizu.com
  • webcrawler.com
  • worthathousandwords.com
  • yahoo
  • yieldmanager.com
  • yimg.com
  • ytimg.com

マルウェアは、感染コンピュータのMBRを変更し、OSが読み込まれる前に自身が実行されるようにします。

マルウェアは、ハードディスクの末尾に以下のファイルを書き込み、自身のコンポーネントファイルを隠ぺいします。

  • \?\globalroot\{random}\cfg.ini - このマルウェアのボット機能の設定を含む
  • \?\globalroot\{random}\bckfg.tmp - 環境設定ファイルのバックアップコピー
  • \?\globalroot\{random}\mbr - MBR内に書き込まれ、"\?\globalroot\{random}\ldr16" を実行するコード。
  • \?\globalroot\{random}\ldr16 - OSが起動している間、マルウェアが読み込むコンポーネント。
    OSにより、"\?\globalroot\{random}\ldr32" または "\?\globalroot\{random}\ldr64" を実行
  • \?\globalroot\{random}\ldr32 - 「TROJ_TDSS.KARUL」として検出。
    マルウェアは、このファイルを利用し、システムライブラリ "kdcom.dll" を複製することにより、OSがクラッシュすることなく起動し続けるようにする。
  • \?\globalroot\{random}\ldr64 - 「TROJ_TDSS.KARUL」として検出。
    マルウェアは、このファイルを利用し、システムライブラリ "kdcom.dll" を複製することにより、OSがクラッシュすることなく起動し続けるようにする。
  • \?\globalroot\{random}\drv32 - 「RTKT_TDSS.KARUD」として検出。
    マルウェアは、このコンポーネントを利用して自身の不正活動を隠ぺいし、MBRの感染を確実にする。
  • \?\globalroot\{random}\drv64 - 「RTKT_TDSS.KARUD」として検出。
    マルウェアは、このコンポーネントを利用して自身の不正活動を隠ぺいし、MBRの感染を確実にする。
  • \?\globalroot\{random}\cmd.dll - このマルウェアとして検出
  • \?\globalroot\{random}\cmd64.dll - このマルウェアとして検出

マルウェアは、上述のWebサイトにアクセスします。そして、他の不正なファイルをダウンロードしたり、広告を表示したりします。

マルウエアは、実行ファイルのパスが以下のいずれかの文字列を含まない場合、Mutex「Global\9e6af8f3-75f3-4b67-877a-c80125d7bc08」を作成します。

  • explo
  • firefox
  • chrome
  • opera
  • safari
  • netsc
  • avant
  • browser
  • mozill
  • wuauclt

  対応方法

対応検索エンジン: 8.900
初回 VSAPI パターンバージョン 7.956.08
初回 VSAPI パターンリリース日 2011年4月7日
VSAPI OPR パターンバージョン 7.957.00
VSAPI OPR パターンリリース日 2011年4月7日

手順 1

Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

この「BKDR_TDSS.KARU」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した場合は削除してください。

手順 3

「BKDR_TDSS.KARU」を作成またはダウンロードする不正なファイルを削除します。

手順 4

Master Boot Record（MBR）を修復します。

Master Boot Record（MBR）の修復：

  1. Windows のインストールCDを使用して、コンピュータを再起動します。
  2. [セットアップへようこそ] 画面で、修復の R キーを押します。
    （註： Windows2000 の場合、Rキーを入力後 C キーを入力し、[修復オプション]から[回復コンソール]を選択します。）
  3. 修復する Windows がインストールされているドライブを選択します（通常は "1" を選択します）。.
  4. 管理者のパスワードを入力し、Enter キーを押します。管理者パスワードがない場合は、何も入力せずに Enter キーを押します。
  5. コマンドプロンプトに、上記で確認したマルウェアが検出されたドライブ名を入力します。
  6. 以下のコマンドを入力し、Enter キーを押します。
    fixmbr ＜感染したドライブ＞
    ※"FIXMBR" と "＜感染したドライブ＞" の間に半角スペースを入れてください。
    ※"＜感染したドライブ＞" とは、このマルウェアが感染したブータブル・ドライブのことです。ドライブが特定できない場合、プライマリ・ブート・ドライブにあるマスター・ブート・レコードが上書きされている可能性があります。
  7. コマンドプロンプトに EXIT と入力し、コンピュータを再起動してください。

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\main\FeatureControl\FEATURE_BROWSER_EMULATION
    • {executable name} = "8888"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
    • maxhttpredirects = "8888"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings
    • enablehttp1_1 = "1"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\zones\3
    • currentlevel = "0"

手順 6

変更されたレジストリ値を修正します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\zones\3
    • From: 1601 = "0"
      To: 1601 = "1"
  • In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\zones\3
    • From: 1400 = "0"
      To: 1400 = "{user-defined}"
  • In HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\International
    • From: acceptlanguage = "{local}"
      To: acceptlanguage = "{user defined}"

手順 7

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「BKDR_TDSS.KARU」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください