Trend Micro Security

TROJ_FAKEAV

2014年10月25日
 解析者: Oscar Celestino Angelo Abendan ll   
 別名:

FakeRean, Renos, FakeAlert, FakeAlerter, Renos, FraudPack

 プラットフォーム:

Windows 2000, Windows XP, Windows Server 2003

 危険度:
 ダメージ度:
 感染力:
 感染確認数:


  • マルウェアタイプ: トロイの木馬型
  • 破壊活動の有無: なし
  • 暗号化:  
  • 感染報告の有無: はい

  概要

感染経路 インターネットからのダウンロード, ソーシャル・ネットワーキング・サイト（SNS）経由による侵入, 他のマルウェアからの作成, Eメールを介したスパム活動

「FAKEAV」の亜種は、改ざんされたWebサイト、スパムメールや検索エンジンの不正なリンクを介してコンピュータに侵入し、「FAKEAV」のダウンロード先のWebサイト、ソーシャル・ネットワーキング・サイトの不正な書き込みや不正な広告へユーザを誘導します。また、他のマルウェアによってダウンロードされることにより侵入する場合もあります。

「FAKEAV」は、2008年頃から、東日本大震災などの話題の出来事に便乗し、感染活動を行ってきました。また、パリスヒルトンなどの有名人の名前を利用してユーザに被害を及ぼすこともあります。「FAKEAV」を仕掛けるサイバー犯罪者は、ユーザが偽のセキュリティソフトをダウンロードまたは購入するまでコンピュータが感染していると偽の報告をし、ユーザを不安にさせます。

「FAKEAV」の別の不正活動では、成人向けサイトにアクセスしたり、「GMER」やトレンドマイクロ製品「ルートキットバスター（Rootkit Buster）」といったルートキット検出ツールをブロックし、感染コンピュータから容易に削除されるのを防ぐ亜種も登場しています。最近の「FAKEAV」の亜種では、Mac OSを攻撃対象としたり、「Twitter」および「Facebook」といったソーシャル・ネットワーキング・サイト（SNS）を介して感染活動を行う亜種もあります。

「FAKEAV」の背後には、多くの人が関わっています。偽セキュリティソフトのファイルを作成する人の他、ネットワークトラフィックを変更する人、Webサイトを改変する人、ボットを運用する人、脆弱性を利用する攻撃ツールを作成する人、また他のサイバー犯罪者達が「FAKEAV」の活動から利益を得ようと活動しています。

マルウェアは、「Registry Shell Spawning」という手法で特定のレジストリキーまたはレジストリ値を変更します。これにより、他のアプリケーションが実行されると、このマルウェアも自動実行されます。

  詳細

メモリ常駐 はい

インストール

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

  • %Application Data%\av.exe
  • %Application Data%\ave.exe
  • %Windows%\msa.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

マルウェアは、以下のファイルを作成します。

  • %Application Data%\1S7p66
  • %Application Data%\1gx8VwiF
  • %Application Data%\3pxrV41BG
  • %Application Data%\Oiitd0ys0jFnW
  • %Application Data%\PQ608daGr
  • %Application Data%\U0k0MQl
  • %Application Data%\g1oOP77
  • %Application Data%\oY0vtai
  • %System Root%\Documents and Settings\All Users\Application Data\1S7p66
  • %System Root%\Documents and Settings\All Users\Application Data\PQ608daGr
  • %System Root%\Documents and Settings\All Users\Application Data\oY0vtai
  • %User Profile%\Templates\1S7p66
  • %User Profile%\Templates\PQ608daGr
  • %User Profile%\Templates\oY0vtai
  • %User Temp%\1S7p66
  • %User Temp%\PQ608daGr
  • %User Temp%\oY0vtai
  • %WIndows%\Tasks\{7B02EF0B-A410-4938-8480-9BA26420A627}.job
  • %Windows%\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。. %System Root%フォルダは、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。. %User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞" です。. %User Temp%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 2000、XP および Server 2003 の場合、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。. %Windows%フォルダはWindowsの種類とインストール時の設定などにより異なります。標準設定では、"C:\Windows" です。)

自動実行方法

マルウェアは、「Registry Shell Spawning」という手法で以下のレジストリキーまたはレジストリ値を変更します。これにより、特定のファイル形式のファイルが開かれると、このマルウェアも自動実行されます。

HKEY_CLASSES_ROOT\secfile\shell\
open\command
(Default) = ""%Application Data%\av.exe" /START "%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
(Default) = ""%Application Data%\av.exe" /START "%1" %*"

HKEY_CLASSES_ROOT\secfile\shell\
open\command
(Default) = ""%Application Data%\ave.exe" /START "%1" %*"

HKEY_CLASSES_ROOT\.exe\shell\
open\command
(Default) = ""%Application Data%\ave.exe" /START "%1" %*"

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\Software\NordBull

HKEY_CURRENT_USER\Software\4VDD85L8NF

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows
Identity = "{hex value}"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
EnableFirewall = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
DoNotAllowExceptions = "0"

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\DomainProfile
DisableNotifications = "1"

マルウェアは、以下のレジストリ値を変更します。

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallDisableNotify = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
EnableFirewall = "0"

(註：変更前の上記レジストリ値は、「1」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess\Parameters\
FirewallPolicy\StandardProfile
DisableNotifications = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_CLASSES_ROOT\.exe
(Default) = "secfile"

(註：変更前の上記レジストリ値は、「exefile」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
open\command
(Default) = ""%Application Data%\av.exe" /START "%Program Files%\Mozilla Firefox\firefox.exe""

(註：変更前の上記レジストリ値は、「%Program Files%\Mozilla Firefox\firefox.exe」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
safemode\command
(Default) = ""%Application Data%\av.exe" /START "%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode"

(註：変更前の上記レジストリ値は、「%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode"」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\IEXPLORE.EXE\shell\
open\command
(Default) = ""%Application Data%\av.exe" /START "%Program Files%\Internet Explorer\iexplore.exe""

(註：変更前の上記レジストリ値は、「%Program Files%\Internet Explorer\iexplore.exe」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
open\command
(Default) = ""%Application Data%\ave.exe" /START "%Program Files%\Mozilla Firefox\firefox.exe""

(註：変更前の上記レジストリ値は、「%Program Files%\Mozilla Firefox\firefox.exe」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\FIREFOX.EXE\shell\
safemode\command
(Default) = ""%Application Data%\ave.exe" /START "%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode"

(註：変更前の上記レジストリ値は、「%Program Files%\Mozilla Firefox\firefox.exe" -safe-mode"」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusDisableNotify = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
UpdatesDisableNotify = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
AntiVirusOverride = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Security Center
FirewallOverride = "1"

(註：変更前の上記レジストリ値は、「0」となります。)

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Services\SharedAccess
Start = "4"

(註：変更前の上記レジストリ値は、「2」となります。)

HKEY_LOCAL_MACHINE\SOFTWARE\Clients\
StartMenuInternet\IEXPLORE.EXE\shell\
open\command
(Default) = ""%Application Data%\ave.exe" /START "%Program Files%\Internet Explorer\iexplore.exe""

(註：変更前の上記レジストリ値は、「%Program Files%\Internet Explorer\iexplore.exe」となります。)

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

  • {BLOCKED}tubae.com
  • {BLOCKED}lino.com
  • {BLOCKED}rawe.com
  • {BLOCKED}s-live-one1.com
  • {BLOCKED}s-one-care2010.com
  • {BLOCKED}rilos.com
  • {BLOCKED}dovk.com
  • {BLOCKED}s.com
  • {BLOCKED}security.com
  • {BLOCKED}uritygroup.com
  • {BLOCKED}dat.com
  • {BLOCKED}a.com
  • {BLOCKED}elo.com
  • {BLOCKED}security.com
  • {BLOCKED}iokas.com
  • {BLOCKED}oqe.com
  • {BLOCKED}holu.com
  • {BLOCKED}odert.com
  • {BLOCKED}e.com
  • {BLOCKED}itydirect.com
  • {BLOCKED}formationsecurity.com
  • {BLOCKED}l.com
  • {BLOCKED}inos.com
  • {BLOCKED}lsecurity.com
  • {BLOCKED}securityinside.com
  • {BLOCKED}ioskal.com
  • {BLOCKED}anumba.com
  • {BLOCKED}erfu.com
  • {BLOCKED}tunad.com
  • {BLOCKED}care.com
  • {BLOCKED}care2010.com
  • {BLOCKED}are.com
  • {BLOCKED}are2010.com
  • {BLOCKED}are2010.com
  • {BLOCKED}opergul.com
  • {BLOCKED}securityorg.com
  • {BLOCKED}ityonline.com
  • {BLOCKED}ecurityregistry.com
  • {BLOCKED}-antivirus.com
  • {BLOCKED}-antivirus2010.com
  • {BLOCKED}antivirus2010.com
  • {BLOCKED}rtahul.com
  • {BLOCKED}libom.com
  • {BLOCKED}ive.com
  • {BLOCKED}care.com
  • {BLOCKED}are.com
  • {BLOCKED}are2010.com
  • {BLOCKED}ive-2010.com
  • {BLOCKED}ws-live.com
  • {BLOCKED}ve-2010.com
  • {BLOCKED}ve.com
  • {BLOCKED}ive.com
  • {BLOCKED}010.com
  • {BLOCKED}ve.com
  • {BLOCKED}e.com
  • {BLOCKED}tuga.com
  • {BLOCKED}lerda.com
  • {BLOCKED}curityguide.com
  • {BLOCKED}ertug.com
  • {BLOCKED}erade.com
  • {BLOCKED}-pc-care.com
  • {BLOCKED}-pccare.com
  • {BLOCKED}-pccare2010.com
  • {BLOCKED}pc-care.com
  • {BLOCKED}pccare.com
  • {BLOCKED}pccare2010.com
  • {BLOCKED}usaonline.com
  • {BLOCKED}balin.com
  • {BLOCKED}a.com
  • {BLOCKED}uval.com
  • {BLOCKED}uritydirect.com
  • {BLOCKED}rduma.com
  • {BLOCKED}kert.com
  • {BLOCKED}niko.com
  • {BLOCKED}lion.com
  • {BLOCKED}rtag.com
  • {BLOCKED}mertu.com
  • {BLOCKED}ertuh.com
  • {BLOCKED}-care.com
  • {BLOCKED}-care2010.com
  • {BLOCKED}live-care.com
  • {BLOCKED}pccare.com
  • {BLOCKED}care2010.com
  • {BLOCKED}care21.com
  • {BLOCKED}rityinfo.com
  • {BLOCKED}rityplus.com

  対応方法

対応検索エンジン: 9.300
VSAPI OPR パターンバージョン 8.141.00
VSAPI OPR パターンリリース日 2011年5月6日

トレンドマイクロのお客様：

    最新のバージョン（パターンファイル および エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型マルウェアやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できないマルウェアがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

  • トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
  • 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。


ご利用はいかがでしたか？　アンケートにご協力ください