Trend Micro Security

PE_SALITY

2014年2月18日
 解析者: Dianne Lagrimas   
 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: ファイル感染型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要

感染経路 ファイルに感染, リムーバブルドライブを介した感染活動, 共有ネットワークフォルダを介した感染活動, インターネットからのダウンロード

ファイル感染型ウイルスのファミリは、拡張子EXEおよびSCRを持つファイルに感染することによって拡散することで知られていますが、「SALITY」ファミリの亜種は、このほかに、リムーバブルドライブやネットワーク共有を介して拡散します。

ターゲットとなるファイルに感染するとき、「SALITY」は、特定のフォルダ内に保存されているファイルや特定の文字列を持つファイルを回避するといった特定の規則に従います。また、250文字以上のファイル名を持つファイルには、感染しません。

「SALITY」ファミリの亜種は、感染コンピュータのHOSTSファイルを変更し、特定のWebサイトへのアクセスを妨害します。また、この亜種は、セキュリティソフトに関連するプロセスを終了します。

「SALITY」ファミリの亜種は、特定のURLおよびIPアドレスにアクセスし、自身のコンポーネントをダウンロードします。

  詳細

メモリ常駐 はい
ペイロード URLまたはIPアドレスに接続, HOSTSファイルの改変, プロセスの強制終了

インストール

ウイルスは、以下のファイルを作成します。

  • %System%\vcmgcd32.dll
  • %System%\vcmgcd32.dl_
  • {drive letter}:\ autorun.inf
  • %System%\drivers\{random file name}.sys

(註：%System%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では "C:\Windows\System32" です。)

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • {drive letter}:\{random}.exe/cmd/pif
  • {drive letter}:\{malware file name}.exe

他のシステム変更

ウイルスは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\{random}

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Tracing\FWCFG

ウイルスは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings
GlobalUserOffline = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
system
DisableRegistryTools = "1"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Policies\
system
DisableTaskMgr = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
AntiVirusOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
FirewallOverride = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UacDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center\Svc
UpdatesDisableNotify = "1"

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\policies\
system
EnableLUA = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSetServices\
SharedAccess\ParametersFirewallPolicy\StandardProfile
DisableNotifications = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSetServices\
SharedAccess\ParametersFirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSetServices\
SharedAccess\ParametersFirewallPolicy\StandardProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile\AuthorizedApplications\
List
{malware path and name} = "{malware path and name}:*:Enabled:{infected file name}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile\AuthorizedApplications\
List
{malware path and name} = "{malware path and name}:*:Enabled:ipsec"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\{random}
DisplayName = "{random}"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\{random}
ErrorControl = "1"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\{random}
ImagePath = "\??\%System%\drivers\{random file name}.sys"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\{random}
Start = "3"

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Services\{random}
Type = "1"

ウイルスは、インストールの過程で以下のレジストリキーまたはレジストリ値を変更します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = "2"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UacDisableNotify = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\wscsvc
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

ウイルスは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Control\SafeBoot\Minimal

HKEY_LOCAL_MACHINE\System\CurrentControlSet\
Control\SafeBoot\Network

その他

ウイルスは、以下の不正なWebサイトにアクセスします。

  • http://{BLOCKED}.{BLOCKED}.19.14/logo.gif
  • http://{BLOCKED}.{BLOCKED}.222.206/logos.gif
  • http://{BLOCKED}metgrup.com/images/logosa.gif
  • http://{BLOCKED}.{BLOCKED}.213.217/images/?{random}
  • http://{BLOCKED}overseas.net/images/xs2.jpg
  • http://{BLOCKED}o.cz/logo.gif
  • http://{BLOCKED}in.com.tr/images/logos.gif
  • http://{BLOCKED}ye.net/xs.jpg
  • http://{BLOCKED}hotel.com/images/logof.gif
  • http://{BLOCKED}ry.org/images/xs.jpg
  • http://{BLOCKED}lim.com.tr/images/xs2.jpg
  • http://{BLOCKED}x.com/xs.jpg
  • http://{BLOCKED}pie.in/images/xs.jpg
  • http://{BLOCKED}l.net/images/xs.jpg
  • http://{BLOCKED}mediaproduction.com/images/xs.jpg
  • http://{BLOCKED}e.co.uk/images/xs.jpg
  • http://{BLOCKED}t.com.tr/main.gif
  • http://cdn.{BLOCKED}a.com/images/image_redirect/shopwiki.com.gif
  • http://cdn.{BLOCKED}a.com/images/image_redirect/shopwiki.com.jpg
  • http://{BLOCKED}asa.com/images/logos.gif
  • http://{BLOCKED}tara.com/logof.gif
  • http://{BLOCKED}tingdestinations.com/?f
  • http://{BLOCKED}tingdestinations.com/images/logos.gif
  • http://{BLOCKED}so.com.br/s.jpg
  • http://{BLOCKED}scapeuk.com/xs.jpg
  • http://{BLOCKED}nt-eg.com/images/logosa.gif
  • http://{BLOCKED}ix.us/images/mainf.gif
  • http://{BLOCKED}ny.com/logos.gif
  • http://{BLOCKED}oletarianparty.org/logof.gif
  • http://g2.{BLOCKED}itech.com/xs.jpg
  • http://{BLOCKED}rtltd.com/img/xs.jpg
  • http://{BLOCKED}wing-tomorrow.org/images/s.jpg
  • http://{BLOCKED}nia.my1.ru/mainh.gif
  • http://{BLOCKED}rnajd.com/images/logo.gif
  • http://{BLOCKED}n-ferienhaus.com/logos.gif
  • http://{BLOCKED}hnes-server.de/cms/images/main.gif
  • http://{BLOCKED}m.de/images/main.gif
  • http://{BLOCKED}wel.fm.interia.pl/logos.gif
  • http://{BLOCKED}sh.com/images/mainf.gif
  • http://radio.{BLOCKED}b.ir/farhang/images/logos.gif
  • http://{BLOCKED}ie.com/images/logos.gif
  • http://{BLOCKED}tu.funpic.de/img/logos.gif
  • http://v11.{BLOCKED}abschirmkiste.de/foo?ip=120.89.55.2&port=3846&req=/logos.gif
  • http://www.{BLOCKED}becreatives.com/logos.gif
  • http://www.{BLOCKED}desk.org/images/xs.jpg
  • http://www.{BLOCKED}ogullari.com/logof.gif
  • http://www.{BLOCKED}zanbil.com/Images/logos.gif
  • http://www.{BLOCKED}ccorini.com/images/logos.gif
  • http://www.{BLOCKED}kkk4d.info/mrow_china/?id{random characters}
  • http://www.{BLOCKED}vns3sdsal.info/mrow_china/?id{random characters}
  • http://www.{BLOCKED}k.info/mrow_china/?id{random characters}
  • http://www.{BLOCKED}ine.com/s.jpg
  • http://www.{BLOCKED}-adv.com/gallery/Fusion/images/logos.gif
  • http://www.{BLOCKED}yservices.be/images/logos.gif
  • http://{BLOCKED}uncil.ya.funpic.de/images/logos.gif
  • http://{BLOCKED}tt.yo.funpic.de/logos.gif
  • http://{BLOCKED}avdar.blogspot.com/logos_s.gif
  • http://{BLOCKED}avdar.com/logos_s.gif
  • http://{BLOCKED}kalpilkogretim72.meb.k12.tr/images/logos.gif

  対応方法

対応検索エンジン: 9.200
VSAPI OPR パターンバージョン 9.767.00
VSAPI OPR パターンリリース日 2013年3月5日

トレンドマイクロのお客様：

    最新のバージョン（パターンファイル and エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型不正プログラムやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できない不正プログラムがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

  • トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
  • 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。


ご利用はいかがでしたか？　アンケートにご協力ください