• Email
• Facebook
• Twitter
• Google+
• Linkedin

KULUOZ

---

• マルウェアタイプ: バックドア型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

「KULUOZ」は、有名なボットネットの一部であり、2012年４月から６月頃にかけて初めて確認されました。このマルウェアのほとんどは、拡張子TXTまたはDOCのファイルを装い、正規のファイルにみせかけます。

実行されると、マルウェアは、作成された拡張子TXTのファイルを開け、ユーザから自身の不正活動を隠蔽します。

このマルウェアはまた、自身のコマンド＆コントロール（C&C）サーバとの通信し、情報をコマンドを送受信します。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、実行後、自身を削除します。

---

  詳細

インストール

マルウェアは、以下のファイルを作成します。

• {Malware Path and Filename}.txt

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• Svchost.exe

マルウェアは、以下のプロセスにコードを組み込みます。

• Created svchost.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\{random}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random}.exe"

HKEY_CURRENT_USER\SOFTWARE\{random}
{random} = "{hex values}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• idl- Sleep / Idle
• run- Download and execute arbitrary file
• rem- Uninstall itself
• rdl- Update copy of injected code in svchost and add encrypted code to registry
• upd- Update copy of main malware
• red- Check latest malware version

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.66.217:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.16.68:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.203.58:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.103.54:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.156.180:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.132.24:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.224.202:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.112.7:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.63.194:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.178.174:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.131.132:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.189.234:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.241.208:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.60.166:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.145.174:6667/{generated value}
• http://{BLOCKED}.{BLOCKED}.10.68:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.220.148:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.81.166:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.115.171:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.49.145:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.248.152:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.204.228:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.159.166:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.22.146:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.22.38:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.50.161:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.89.231:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.20.202:8080/{generated value}

マルウェアは、実行後、自身を削除します。

実行されると、マルウェアは、作成された拡張子TXTのファイル"{Malware Path and Filename}.txt"を開け、ユーザから自身の不正活動を隠蔽します。

---

  対応方法

トレンドマイクロのお客様：

最新のバージョン（パターンファイル および エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型マルウェアやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できないマルウェアがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

• トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
• 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。

ご利用はいかがでしたか？　アンケートにご協力ください