BKDR_VAWTRAK.PHP

2013年10月30日

更新者 : Rika Joi Gregorio

別名:

Backdoor:Win32/Vawtrak.A(Microsoft), Trojan.Ransomlock.G(Symantec), Trojan-PWS.Win32.Tepfer(Ikarus), Win32/PSW.Papras.CP trojan(Eset)

プラットフォーム:

Windows 2000, Windows Server 2003, Windows XP (32-bit, 64-bit), Windows Vista (32-bit, 64-bit), Windows 7 (32-bit, 64-bit)

危険度:

ダメージ度:

感染力:

感染確認数:

情報漏えい:

マルウェアタイプ: バックドア型
破壊活動の有無: なし
暗号化: はい
感染報告の有無: はい

概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、実行後、自身を削除します。

詳細

ファイルサイズ 241,664 bytes

タイプ EXE

メモリ常駐はい

発見日 2013年10月25日

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

マルウェアは、以下のファイルを作成し実行します。

%All Users Profile%\Application Data\{random file name}.dat - also detected as BKDR_VAWTRAK.PHP
%Program Data%\{random file name}.dat - also detected as BKDR_VAWTRAK.PHP for Windows Vista and 7 only

マルウェアは、すべての実行中プロセスに組み込まれ、システムのプロセスに常駐します。

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name} = "regsvr32.exe /s "%All Users Profile%\Application Data\{random file name}.dat""

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
{random file name} = "regsvr32.exe /s "%Program Data%\{random file name}.dat"" for Windows Vista and 7 only

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\AppDataLow\
{random key 1}

HKEY_CURRENT_USER\SOFTWARE\AppDataLow\
{random key 2}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\AppDataLow\
{random key 2}
{random} = "{random}"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2500 = "3"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
NoProtectedModeBanner = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Internet Explorer\Main
TabProcGrowth = "0"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

Keylog
Capture screenshots
Start process (iexplore.exe, firefox.exe, outlook.exe, explorer.exe, cmd.exe, taskmgr.exe)
Inject to process
Update itself
Download and execute files
List processes
Perform remote shell

マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。

http://{BLOCKED}elando.com/post.aspx?forumID={random digit}
http://{BLOCKED}elando.com/forumdisplay.php?fid={random digit}
http://{BLOCKED}ntofont.com/forumdisplay.php?fid={random digit}
http://{BLOCKED}ix.com/post.aspx?forumID={random digit}
http://{BLOCKED}ntofont.com/post.aspx?forumID={random digit}
http://{BLOCKED}kos.com/forumdisplay.php?fid=v
http://{BLOCKED}.{BLOCKED}.80.107/update?v={random digit}
http://{BLOCKED}kos.com/post.aspx?messageID={random digit}

情報漏えい

マルウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。

3D-FTP
AceBIT
AceFTP
ALFTP
BitKinex
BlazeFtp
BulletProof FTP
ClassicFTP
CoffeeCup Software
Cyberduck
DeluxeFTP
Directory Opus
EasyFTP
ExpanDrive
FarManager
FFFTP
FileZilla
FlashFXP
Fling FTP
FreshFTP
FTP Commander
FTP Explorer
FTP Navigator
FTPGetter
FTPNow
FTPRush
FTPShell
FTPVoyager
FTPWare
GlobalSCAPE CuteFTP 6 Home
GlobalSCAPE CuteFTP 7 Home
GlobalSCAPE CuteFTP 8 Home
GlobalSCAPE CuteFTP
GlobalSCAPE CuteFTP 8 Professional
GlobalSCAPE CuteFTP 6 Professional
GlobalSCAPE CuteFTP 7 Professional
GlobalSCAPE CuteFTP Lite
GlobalSCAPE CuteFTP Pro
GoFTP
LeapFTP
LeechFTP
LinasFTP
My FTP
NetDrive
NetSarang
NexusFile
NovaFTP
PuTTY
RhinoSoft
Robo-FTP
SecureFX
SmartFTP
SoftX FTP
Staff-FTP
Titan FTP
Total Commander
TurboFTP
UltraFXP
WinFTP
WinSCP
WS_FTP

マルウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。

Password
User ID
Server Type
Server Name
Port Number
Directory List

マルウェアは、保存されている以下のEメール認証情報を収集します。

IncrediMail
Outlook
PocoMail
The Bat!
Thunderbird
Windows Live Mail
Windows Mail

マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。

Epic Browser
Flock
K-Meleon
Mozilla Firefox
SeaMonkey

その他

マルウェアは、実行後、自身を削除します。

対応方法

対応検索エンジン: 9.300

初回 VSAPI パターンバージョン 10.366.02

初回 VSAPI パターンリリース日 2013年10月26日

VSAPI OPR パターンバージョン 10.367.00

VSAPI OPR パターンリリース日 2013年10月27日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 3

このレジストリキーを削除します。

[ 詳細 ]

警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。

In HKEY_CURRENT_USER\SOFTWARE\AppDataLow
- {random key 1}
In HKEY_CURRENT_USER\SOFTWARE\AppDataLow
- {random key 2}

手順 4

このレジストリ値を削除します。

[ 詳細 ]

In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3
- 2500 = "3"
In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- NoProtectedModeBanner = "1"
In HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main
- TabProcGrowth = "0"
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random file name} = "regsvr32.exe /s "%All Users Profile%\Application Data\{random file name}.dat""
In HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
- {random file name} = "regsvr32.exe /s "%Program Data%\{random file name}.dat"" <i>for Windows Vista and 7 only</i>
In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{random}
- SaferFlags = "0"
In HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{random}
- ItemData = "{directory}\{folder name}"

このマルウェアが追加したレジストリ値の削除：

「レジストリエディタ」を起動します。
[スタート]-[ファイル名を指定して実行]を選択し、regedit と入力し、[OK]をクリックします。
※regedit は半角英数字で入力する必要があります（大文字／小文字は区別されません）。
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Internet Settings>Zones>3
右側のパネルで以下のレジストリ値を検索し、削除します。
2500 = "3"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Internet Explorer>Main
右側のパネルで以下のレジストリ値を検索し、削除します。
NoProtectedModeBanner = "1"
右側のパネルで以下のレジストリ値を検索し、削除します。
TabProcGrowth = "0"
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_CURRENT_USER>Software>Microsoft>Windows>CurrentVersion>Run
右側のパネルで以下のレジストリ値を検索し、削除します。
{random file name} = "regsvr32.exe /s "%All Users Profile%\Application Data\{random file name}.dat""
右側のパネルで以下のレジストリ値を検索し、削除します。
{random file name} = "regsvr32.exe /s "%Program Data%\{random file name}.dat"" <i>for Windows Vista and 7 only</i>
「レジストリエディタ」の左側のパネルにある以下のフォルダをダブルクリックします。
HKEY_LOCAL_MACHINE>SOFTWARE>Policies>Microsoft>Windows>Safer>CodeIdentifiers>0>Paths>{random}
右側のパネルで以下のレジストリ値を検索し、削除します。
SaferFlags = "0"
右側のパネルで以下のレジストリ値を検索し、削除します。
ItemData = "{directory}\{folder name}"
「レジストリエディタ」を閉じます。

手順 5

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「BKDR_VAWTRAK.PHP」と検出したファイルの検索を実行してください。検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

ご利用はいかがでしたか？　アンケートにご協力ください