BKDR_VAWTRAK.LNZ

2015年1月16日

解析者: RonJay Kristoffer Caragay

別名:

Backdoor.Win32.Papras.rbr (Kaspersky); Backdoor.Papras (Malwarebytes)

プラットフォーム:

Windows

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: バックドア型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

感染経路他のマルウェアからの作成, インターネットからのダウンロード

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、Internet Explorer（IE）のゾーン設定を変更します。

マルウェアマルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を削除します。

詳細

ファイルサイズ不定

タイプ DLL

メモリ常駐はい

発見日 2015年1月10日

ペイロード URLまたはIPアドレスに接続, 情報収集

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

%All Users Profile%\Application Data\{random 1}\{random 2}.{random 3 characters}

(註：%All Users Profile%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\All Users”、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\ProgramData” です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random 1} = "regsvr32.exe "%All Users Profile%\Application Data\{random 1}\{random 2}.{random 3 characters}""

他のシステム変更

マルウェアは、以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
DefaultLevel = "262144"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
TransparentEnabled = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Policies\
Microsoft\Windows\Safer\
CodeIdentifiers
PolicyScope = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
NoProtectedModeBanner = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
TabProcGrowth = "0"

HKEY_CURRENT_USER\Software\{CLSID 1}
{random value 1} = "{hex values}"

HKEY_CURRENT_USER\Software\{CLSID 1}
{random value 2} = "{hex values}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

Log keystrokes
Capture Screenshots
Open a process
Install Updates
List Process
Inject code to process
Download and execute files
Download configuration
Perform remote shell

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

http://{BLOCKED}e.com/blog/00/post.php
http://{BLOCKED}ok.com/blog/00/post.php
http://{BLOCKED}k.com/blog/00/post.php
http://{BLOCKED}a.com/blog/00/post.php
http://{BLOCKED}d.com/blog/00/post.php
http://{BLOCKED}i.com/blog/00/post.php
http://{BLOCKED}a.com/blog/00/post.php
http://{BLOCKED}i.com/blog/00/post.php

Webブラウザのホームページおよび検索ページの変更

マルウェアは、IEのゾーン設定を変更します。

情報漏えい

マルウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

3D-FTP
AceFTP
BitKinex
BlazeFtp
BulletProof FTP
ClassicFTP
CoffeeCup Software
Cyberduck
DeluxeFTP
Directory Opus
EasyFTP
ExpanDrive
FarManager
FastStone Browser
FFFTP
FileZilla
FlashFXP
Fling FTP
FreshFTP
FTP Commander
FTP Explorer
FTP Navigator
FTPGetter
FTPNow
FTPRush
FTPShell
FTPVoyager
FTPWare
FTP++
GlobalSCAPE CuteFTP 6 Home
GlobalSCAPE CuteFTP 7 Home
GlobalSCAPE CuteFTP 8 Home
GlobalSCAPE CuteFTP
GlobalSCAPE CuteFTP 8 Professional
GlobalSCAPE CuteFTP 6 Professional
GlobalSCAPE CuteFTP 7 Professional
GlobalSCAPE CuteFTP Lite
GlobalSCAPE CuteFTP Pro
Global Downloader
GoFTP
LeapFTP
LeechFTP
LinasFTP
My FTP
NetDrive
NetSarang
NexusFile
NovaFTP
PuTTY
RhinoSoft
Robo-FTP
SecureFX
SmartFTP
SoftX FTP
Staff-FTP
Total Commander
TurboFTP
UltraFXP
WebDrive FTP
WinFTP
WinSCP
Windows Commander
WiseFTP

マルウェアは、保存されている以下のEメール認証情報を収集します。

IncrediMail
Microsoft Outlook
PocoMail
BatMail
Thunderbird
Windows Live Mail
Windows Mail

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

Epic
Flock
K-Meleon
Mozilla Firefox
SeaMonkey
Chrome
Internet Explorer

その他

マルウェアは、自身（コンピュータに侵入して最初に自身のコピーを作成したマルウェア）を削除します。

対応方法

対応検索エンジン: 9.700

初回 VSAPI パターンバージョン 11.404.03

初回 VSAPI パターンリリース日 2015年1月11日

VSAPI OPR パターンバージョン 11.405.00

VSAPI OPR パターンリリース日 2015年1月12日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

このマルウェアのパス名およびファイル名を確認します。
最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用いてウイルス検索を実行してください。「BKDR_VAWTRAK.LNZ」で検出したパス名およびファイル名を確認し、メモ等をとってください。

手順 4

Windowsをセーフモードで再起動します。

[ 詳細 ]

セーフモードでの起動：

• Windows 2000 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows XP の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Server 2003 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「Windows 拡張オプションメニュー」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows Vista、Windows 7 および Windows Server 2008 の場合：

コンピュータを起動させます。
「Windows **** を起動しています・・・」のメッセージが表示されている間に［F8］を押します。
「詳細ブートオプション」が表示されるので、［↓］［↑］キーを使って［セーフモード］を選択し、［Enter］を押します。

• Windows 8、8.1 および Server 2012の場合：

画面の右上隅へマウスポインタを移動し、[チャーム]バーを表示します。
マウスで、[設定]－[PC設定の変更]を選択します。
左側のパネルで、[全般]を選択します。
右側のパネルで、[PCの起動をカスタマイズする]が表示されるまで下にスクロールし、[今すぐ再起動]をクリック。コンピュータが再起動するまで待ちます。
[オプションの選択]メニューで、[トラブルシューティング]－[詳細オプション]－[スタートアップ設定]－[再起動]をクリックします。
[スタートアップ設定]メニューで、[4]キーを押し、「4）セーフモードを有効にする」を選択します。

手順 5

このレジストリ値を削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random 1} = "regsvr32.exe "%All Users Profile%\Application Data\{random 1}\{random 2}.{random 3 characters}""
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random 1} = "regsvr32.exe "%ProgramData%\{random 1}\{random 2}.{random 3 characters}""
In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers
- DefaultLevel = "262144"
In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers
- TransparentEnabled = "1"
In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers
- PolicyScope = "0"
In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- NoProtectedModeBanner = "1"
In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- TabProcGrowth = "0"
In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\Paths\{random generated GUID}
- ItemData = "{blacklisted software path}"
In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\Paths\{random generated GUID}
- SaferFlags = "0"

このマルウェアが追加したレジストリ値の削除：

「レジストリエディタ」を起動します。
[スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
右側のパネルで以下のレジストリ値を検索し、削除します。
{random 1} = "regsvr32.exe "%All Users Profile%\Application Data\{random 1}\{random 2}.{random 3 characters}""
右側のパネルで以下のレジストリ値を検索し、削除します。
{random 1} = "regsvr32.exe "%ProgramData%\{random 1}\{random 2}.{random 3 characters}""
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows>Safer>CodeIdentifiers
右側のパネルで以下のレジストリ値を検索し、削除します。
DefaultLevel = "262144"
右側のパネルで以下のレジストリ値を検索し、削除します。
TransparentEnabled = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
PolicyScope = "0"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
右側のパネルで以下のレジストリ値を検索し、削除します。
NoProtectedModeBanner = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
TabProcGrowth = "0"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows>Safer>CodeIdentifiers>Paths>{random generated GUID}
右側のパネルで以下のレジストリ値を検索し、削除します。
ItemData = "{blacklisted software path}"
右側のパネルで以下のレジストリ値を検索し、削除します。
SaferFlags = "0"
「レジストリエディタ」を閉じます。

手順 6

Internet Explorer（IE）のセキュリティ設定を修正します。

[ 詳細 ]

手順 7

Internet Explorer（IE）のプライバシー設定の修正

[ 詳細 ]

手順 8

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「BKDR_VAWTRAK.LNZ」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 9

インストールの過程で追加された以下のファイル／フォルダ／レジストリキーや値には、参照可能な値が存在しないため、ユーザの手動検索によって確認することができません。そのため、ユーザがシステム情報のバックアップを行なっている場合にのみ、保存されている前のデータと比較することで追加されたファイル／フォルダ／レジストリキーや値を確認することが可能となります。なお、追加されたコンポーネントは、コンピュータに悪影響を与えるものではないため、削除する必要はありません。

In HKEY_CURRENT_USER\Software\{CLSID 1}
- {random value 1} = "{hex values}"
In HKEY_CURRENT_USER\Software\{CLSID 1}
- {random value 2} = "{hex values}"

ご利用はいかがでしたか？　アンケートにご協力ください