Trend Micro Security

PE_KOLOBOK.A-O

2016年10月21日
 解析者: Janus Agcaoili   
 プラットフォーム:

Windows

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:


  • マルウェアタイプ: ファイル感染型
  • 破壊活動の有無: なし
  • 暗号化: なし
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。 ウイルスは、上記ファイルにコードを挿入し、特定のファイル形式に感染します。 ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

ウイルスは、ワーム活動の機能を備えていません。

ウイルスは、バックドア活動の機能を備えていません。

これは、トレンドマイクロの製品では、特定の不正活動を実行するファイルの検出名となります。

  詳細

ファイルサイズ 197,646 bytes
タイプ EXE
ファイル圧縮 UPX
メモリ常駐 なし
発見日 2016年10月14日
ペイロード ファイルの変更, ファイルの作成

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。

  • %Application Data%\wecox.~p1 <- modified copy, prepended with “??KOLO” before the MZ header

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ウイルスは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

  • %Application Data%\services.exe <- with “-?cwk” as argument
  • %Application Data%\wecox.~p0

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。.)

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

  • PACMAN:CLOCKWORK:KOLOBOK

ファイル感染

ウイルスは、標的とするファイルの先頭に自身のコードを追加して感染活動を行います。

ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。

  • .exe
  • .scr
  • .zip
  • .rar
    (Note: The affected system must have a WinRAR installed for infection to .rar and .zip to work)
    It infects .rar and .zip file by dropping an infected copy of “msiexec.exe” to the archives
    • Uses the following shell command to aid this routine:
      • %Program Files%\WinRAR\WinRAR.exe a –ep –ibck –m5 –u –y – %User Temp%\{list of file names}{random number}.exe

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

ウイルスは、以下の文字列を含むフォルダには感染しません。

  • "ram f" <- Program Files
  • ":\win" <- Windows Directory
  • "\sys" <- System Directory
  • "\recy" <- Recycle Bin
  • TEMP <- Temp Folder
  • APPDATA <- Application Data

感染活動

ウイルスは、ワーム活動の機能を備えていません。

バックドア活動

ウイルスは、バックドア活動の機能を備えていません。

作成活動

ウイルスは、以下のファイルを作成します。

  • %User Temp%\{random}.{random} <- temporary copy of target file to infect, deleted afterwards
  • %User Temp%\{list of file names}{random number}.exe <- temporary copy of infected “msiexec.exe”, deleted afterwards
    Where {list of file names} can be any of the following:
    • install
    • upgrade
    • trainer
    • license
    • keygen
    • serial
    • setup
    • patch
    • crack
    • cheat
    • cdkey

(註：%User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.)

その他

これは、トレンドマイクロの製品では、以下の検出名となります。

  • The mother file for PE_KOLOBOK.A

ウイルスは、異なるファイル名を用いて以下のフォルダ内に自身のコピーを作成します。このファイルは、MZヘッダの前に“??KOLO”が追加されたコピーです。

  • %Application Data%\wecox.~p1

ウイルスは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。このコピーは引数”-?cwk”をともないます。

  • %Application Data%\services.exe

ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。

  • .exe
  • .scr
  • .zip
  • .rar
    (註: ウイルスが.rarおよび.zipファイルに感染するには感染コンピュータにWinRARがインストールされている必要があります。)

ウイルスは、アーカイブに“msiexec.exe”の感染されたコピーを作成し、 RARおよびZIPファイルに感染します。

ウイルスは、以下のシェルコマンドを利用し、この活動を補助します。
  • 　%Program Files%\WinRAR\WinRAR.exe a –ep –ibck –m5 –u –y – %User Temp%\{list of file names}{random number}.exe

ウイルスは、以下の文字列を含むフォルダには感染しません。

  • "ram f" <- プログラムファイル
  • ":\win" <- Windows ディレクトリ
  • "\sys" <- システムディレクトリ
  • "\recy" <- ゴミ箱
  • TEMP <-一時フォルダ
  • APPDATA <- アプリケーションデータ

ウイルスは、以下のファイルを作成します。

  • %User Temp%\{random}.{random} <- 感染対象のファイルの一時的なコピーで後で削除されます。
  • %User Temp%\{list of file names}{random number}.exe <- 感染した“msiexec.exe”の一時的なコピーで後で削除されます。
    {list of file names}には、以下のいずれかが当てはまります。
    • install
    • upgrade
    • trainer
    • license
    • keygen
    • serial
    • setup
    • patch
    • crack
    • cheat
    • cdkey

これは、「PE_KOLOBOK.A」の親ファイルのトレンドマイクロの検出名です。

ウイルスは、以下の「infection marker（感染したことを示す印）」を利用します。

  • NAMCAP
  • NAMCAPの後の不正コードのサイズ

ウイルスは、以下のドライブに感染します。

  • 固定ドライブ
    • ディレクトリがInternet Explorer（IE）上で開かれている際にのみ感染します。
    • ウイルスは、“explorer.exe”をフックし、開かれているディレクトリを確認して感染します。
  • リムーバルドライブ
  • リモートドライブ
    • 最初の実行からのTickCount– 最後のイベント/アクションからのTickCount > 1500000 ms (~25 分)の場合、リムーバルドライブまたはリモートドライブに感染します。

ウイルスは、ルートキット機能を備えていません。

ウイルスは、脆弱性を利用した感染活動を行いません。

  対応方法

対応検索エンジン: 9.800
初回 VSAPI パターンバージョン 12.836.02
初回 VSAPI パターンリリース日 2016年10月14日
VSAPI OPR パターンバージョン 12.837.00
VSAPI OPR パターンリリース日 2016年10月15日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。

手順 3

Windowsをセーフモードで再起動します。

[ 詳細 ]

手順 4

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。 %Application Data%\wecox.~p1
%User Temp%\{random}.{random}
%User Temp%\{list of file names}{random number}.exe

手順 5

コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PE_KOLOBOK.A-O」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。

手順 6

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「PE_KOLOBOK.A-O」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください