Trend Micro Security

SYKIPOT

2015年6月26日
 別名:

Wkysol, Sykipot_gen

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: バックドア型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

2007年に、「SYKIPOT」の初めての亜種が確認されました。「SYKIPOT」は、通常、脆弱性を利用する他のマルウェアにより作成されます。

「SYKIPOT」は、以下の情報を収集し、自身のC&Cサーバへ送信します。

  • アクティブなネットワーク通信

  • アダプタ情報

  • システム情報（OS、プロセッサ、BIOSのバージョン、タイムゾーン、メモリ等）

「SYKIPOT」は、標的型攻撃に関連しています。マルウェアの亜種は、C&Cサーバとされるサーバへの通信を隠ぺいします。C&Cサーバは、プロキシが設定されたWebサーバがハッキングされたものです。

  詳細

メモリ常駐 はい
ペイロード URLまたはIPアドレスに接続, 情報収集

インストール

マルウェアは、以下のファイルを作成します。

  • %User Profile%\Local Settings\gtpretty.tmp
  • %User Profile%\Local Settings\gdtpretty.tmp
  • %User Profile%\Local Settings\ptpretty.tmp
  • %User Profile%\Local Settings\pdtpretty.tmp
  • %User Profile%\Local Setiings\gthelp.tmp
  • %User Profile%\Local Setiings\gdthelp.tmp
  • %User Profile%\Local Setiings\pthelp.tmp
  • %User Profile%\Local Setiings\pdthelp.tmp

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、以下のファイルを作成します。

  • %User Profile%\Local Settings\WSE4EF1.TMP
  • %User Profile%\Local Settings\mshelp.tmp

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %User Profile%\Local Settings\pretty.exe
  • %User Profile%\Local Settings\help.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

自動実行方法

マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
office = "%User Profile%\Local Settings\pretty.exe"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
start = "%User Profile%\Local Settings\help.exe"

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • https://www.{BLOCKED}her.com/asp/kys_allow_get.asp?name=getkys.kys&hostname={computer name}-{ip address}-pretty20111122
  • https://help.{BLOCKED}advocator.com/asp/kys_allow_get.asp?name=getkys.kys&hostname={computer name-{ip address}-help20110908

  対応方法

対応検索エンジン: 9.200

トレンドマイクロのお客様：

    最新のバージョン（パターンファイル および エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型マルウェアやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できないマルウェアがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

  • トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
  • 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。


ご利用はいかがでしたか？　アンケートにご協力ください

関連マルウェア