• Email
• Facebook
• Twitter
• Google+
• Linkedin

ELF_KAITEN.SME

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

マルウェアは、IRCサーバに接続します。 マルウェアは、IRCチャンネルに参加します。

---

  詳細

侵入方法

マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

バックドア活動

マルウェアは、以下のいずれかのIRCサーバに接続します。

• {BLOCKED}.{BLOCKED}.{BLOCKED}.23:443

マルウェアは、以下のいずれかのIRCチャンネルに参加します。

• #roots

マルウェアは、リモートでInternet Relay Chat （IRC）サーバにアクセスし、不正リモートユーザから以下のコマンドを受信します。

• PING → return "PONG"
• NICK → change nickname
• PRIVMSG:
  • TSUNAMI → TCP Flood Attack
  • PAN → SYN Flood Attack
  • UDP → UDP Flood Attack
  • UNKNOWN → UDP Flood Attack (Non-spoof)
  • NICK → change or set nickname
  • SERVER → change server
  • GETSPOOFS → create spoofing parameters
  • SPOOFS → change spoofing to subnet
  • DISABLE → stop bot
  • ENABLE → continue running bot
  • KILL → terminates running bot instance
  • KILLALL → terminates all running bot instances
  • GET → download file from a web address
  • VERSION → sends "Kaiten wa goraku"
  • HELP → list all commands
  • IRC → sends commands to the server
  • SH → executes a command
• 376 → MODE, JOIN, WHO
• 433 → set nickname
• 352 → spoof request

その他

マルウェアは、以下を実行します。

• It adds the line "/" to either of the following startup scripts to enable its automatic execution at every system startup:
  • /etc/rc.d/rc.local
  • /etc/rc.conf
• It disguises itself as a legitimate process by executing using the following process names:
  • master
  • crond
  • -bash
• It accesses the following file to generate random strings:
  • /usr/dict/words

---

  対応方法

ご利用はいかがでしたか？　アンケートにご協力ください