• Email
• Facebook
• Twitter
• Google+
• Linkedin

GAOBOT

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

「AGOBOT」としても知られる「GAOBOT」は、「Internet Relay Chat（IRC）」でコントロールされるバックドア型マルウェアのファミリです。マルウェアは、2008年より確認されています。

当初、「GAOBOT」は、コンピュータの改ざんのために利用されていましたが、以下の不正活動も実行可能です。

• プログラムのダウロードおよび実行

• 分散型サービス拒否（DDoS）攻撃の実行

• ポートスキャニング

「GAOBOT」は、検出や削除を避けるために利用される2つの機能を備えています。

• HOSTSファイルの改変 - 「GAOBOT」は、HOSTSファイルにセキュリティサイトを追加し、ユーザを他のWebサイトまたはlocalhostに誘導します。

• セキュリティ関連プロセスの終了 - 「GAOBOT」は、感染コンピュータ上で実行中が確認されたセキュリティ関連プロセスを終了します。

---

  詳細

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\msnmsngr.exe
• %System%\lfxss.exe
• %System%\msnms.exe

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunServices
WINDOWS SYSTEM = "msnmsngr.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
WINDOWS SYSTEM = "msnmsngr.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunServices
BnCtest2 = "lfxss.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
BnCtest2 = "lfxss.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\RunServices
Update = "msnms.exe"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
Update = "msnms.exe"

他のシステム変更

マルウェアは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
OLE
BnCtest2 = "lfxss.exe"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\lfxss.exe = "%System%\lfxss.exe:*:Enabled:lfxss"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
%System%\msnms.exe = "%System%\msnms.exe:*:Enabled:msnms

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• bilal2.{BLOCKED}s.net
• st0ned.{BLOCKED}on.com
• n1gg4.{BLOCKED}u.net

---

  対応方法

トレンドマイクロのお客様：

最新のバージョン（パターンファイル および エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型マルウェアやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できないマルウェアがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

• トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
• 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。

ご利用はいかがでしたか？　アンケートにご協力ください