• Email
• Facebook
• Twitter
• Google+
• Linkedin

TROJ_KULUOZ

---

• マルウェアタイプ: トロイの木馬型
• 破壊活動の有無: なし
• 暗号化:  
• 感染報告の有無: はい

---

  概要

「KULUOZ」は、2012年4月から6月にかけて初めて広く確認された、有名なボットネットの一部となるマルウェアです。ほとんどの「KULUOZ」の亜種は、".TXT"や".DOC"のファイルを装っており、自身を正規なものに見せかけています。

実行されると、マルウェアは、作成された無害なTXTファイルを開き、ユーザから自身の不正活動を隠ぺいします。

また、マルウェアは、自身のコマンド＆コントロール（C&C）サーバへアクセスし、情報やコマンドの送受信を行います。

マルウェアは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

マルウェアは、実行後、自身を削除します。

---

  詳細

インストール

マルウェアは、以下のファイルを作成します。

• {Malware Path and Filename}.txt

マルウェアは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Application Data%\{random}.exe

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

マルウェアは、以下のプロセスを追加します。

• Svchost.exe

マルウェアは、以下のプロセスにコードを組み込みます。

• Created svchost.exe

他のシステム変更

マルウェアは、以下のレジストリキーを追加します。

HKEY_CURRENT_USER\SOFTWARE\{random}

マルウェアは、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random} = "%Application Data%\{random}.exe"

HKEY_CURRENT_USER\SOFTWARE\{random}
{random} = "{hex values}"

バックドア活動

マルウェアは、不正リモートユーザからの以下のコマンドを実行します。

• idl- Sleep / Idle
• run- Download and execute arbitrary file
• rem- Uninstall itself
• rdl- Update copy of injected code in svchost and add encrypted code to registry
• upd- Update copy of main malware
• red- Check latest malware version

その他

マルウェアは、以下の不正なWebサイトにアクセスします。

• http://{BLOCKED}.{BLOCKED}.66.217:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.16.68:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.203.58:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.103.54:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.156.180:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.132.24:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.224.202:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.112.7:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.63.194:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.178.174:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.131.132:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.189.234:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.241.208:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.60.166:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.145.174:6667/{generated value}
• http://{BLOCKED}.{BLOCKED}.10.68:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.220.148:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.81.166:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.115.171:60000/{generated value}
• http://{BLOCKED}.{BLOCKED}.49.145:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.248.152:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.204.228:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.159.166:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.22.146:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.22.38:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.50.161:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.89.231:8080/{generated value}
• http://{BLOCKED}.{BLOCKED}.20.202:8080/{generated value}

マルウェアは、実行後、自身を削除します。

マルウェアが実行するコマンドは、以下のとおりです。

• idl- スリープ／アイドル
• run- 任意のファイルのダウンロードおよび実行
• rem- 自身のアンインストール
• rdl- "svchost"に挿入されたコードのコピーの更新およびレジストリへの暗号化されたコードの追加
• upd- メインとなるマルウェアのコピーの更新
• red- 最新のマルウェアバージョンの確認

---

  対応方法

トレンドマイクロのお客様：

最新のバージョン（パターンファイル および エンジン）を導入したセキュリティ対策製品を用い、ウイルス検索を実行してください。検出したファイルはすべて「削除」し、検出したウイルスはすべて「駆除」してください。削除対象となるファイルには、トロイの木馬型マルウェアやスクリプト系、上書き感染型ウイルス（overwriting virus）、ジョーク・プログラムなど「駆除」できないマルウェアがあげられ、これらのファイルを検出した場合は、すべて「削除」してください。

インターネットをご利用の皆様：

• トレンドマイクロの「オンラインスキャン」を使って、あなたの PC がウイルスに侵されていないかどうかを簡単にチェックすることが可能です。オンラインスキャンはあなたのコンピュータの中に不正なプログラムが存在するかどうかをチェックします。
• 今日、PCやネットワークをセキュリティ上の脅威から守り、安全なIT環境を維持するためには、セキュリティ製品を活用することが最も有効な方法となっています。トレンドマイクロは、一般の個人ユーザだけでなく、企業ユーザやインターネット・サービス・プロバイダ（ISP）向けに、ウイルス対策製品やコンテンツセキュリティ対策をご提供しています。トレンドマイクロの製品・サービスについては、こちらをご参照ください。

ご利用はいかがでしたか？　アンケートにご協力ください