WORM_KELIHOS.YVI
Backdoor:Win32/Kelihos (Microsoft); Backdoor.Win32.Hlux.fite (Kaspersky); Mal/Kelihos-D (Sophos);
Windows
- マルウェアタイプ: バックドア型
- 破壊活動の有無: なし
- 暗号化: はい
- 感染報告の有無: はい
概要
マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。 マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
詳細
侵入方法
マルウェアは、リムーバブルドライブを介してコンピュータに侵入します。
マルウェアは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。
インストール
マルウェアは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。
- {existing directory}\{random filename}.exe → detected as WORM_KELIHOS.YVI as well
where it drops itself into an existing directory using any of the following filename:- acrord32
- agent
- alg
- ati2evxx
- avguard
- batch
- block
- ccapp
- ccevtmgr
- ccsetmgr
- convert
- decompile
- defwatch
- dit
- download
- dwm
- edit
- em_exec
- explorer
- extract
- ezsp_px
- file
- firefox
- fix
- gearsec
- hkcmd
- hkcr
- htpatch
- ielowutil
- ieuser
- iexplore
- igfxtray
- install
- isuspm
- java
- jqs
- jucheck
- jusched
- khalmnpr
- klwtblfs
- lame
- launch
- lsass
- lucoms
- mac
- mcshield
- mcvsescn
- msascui
- mscorsvw
- mspmspsv
- naprdmgr
- navapsvc
- nprotect
- ntvdm
- nvsvc32
- nvxdsync
- nwiz
- open
- pctspk
- pdvddxsrv
- play
- point32
- qbw32
- qttask
- rename
- run
- rundll32
- services
- setup
- sidebar
- smc
- spoolsv
- svchost
- taskman
- terraria
- toaster
- trustedinstaller
- unhide
- unpack
- unzip
- update
- upgrade
- uptime
- view
- vsmon
- webscanx
- winlogon
- wisptis
- wmpnetwk
- wmpnscfg
- xsd
- zcfgsvc
- zip
- zumodrive
マルウェアは、以下のファイルを作成します。
- {malware path}\tmp.exe ← deleted afterwards
自動実行方法
マルウェアは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
{random parameter 1}{random parameter 2} = "{malware path and file name}"
感染活動
マルウェアは、すべての物理ドライブおよびリムーバブルドライブ内に以下として自身のコピーを作成します。
- {Removable Drive Letter}:\{filename}.exe
where {filename} can be any of the following:- password
- screensaver
- click
- installer
- hentai
- install
- run
- setup
- porn
- game
バックドア活動
マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。
- http://{random generated IP addresses}/{variable}.htm
where {variable} can be any of the following:- file
- online
- main
- start
- install
- login
- setup
- welcome
- search
- home
- default
- index
作成活動
マルウェアは、以下のファイルを作成します。
- This worm installs WinPcap, a legitimate and commonly used Windows packet capture library used to monitor the infected computer's network activities, by dropping and installing the following non-malicious files:
- %System%\packet.dll
- %System%\wpcap.dll
- %System%\drivers\npf.sys
(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)
情報漏えい
マルウェアは、コンピュータ内に以下のFTPクライアントまたはファイルマネージャのアカウント情報が保存されている場合、これらのアカウント情報を収集します。
- 32BitFtp
- 3DFTP
- ALFTP
- BitKinex
- BlazeFtp
- BPFTP
- BulletProof FTP
- COREFTP
- CUTEFTP
- Classic FTP
- Core FTP
- CuteFTP
- DeluxeFTP
- Directory Opus
- EasyFTP
- FAR Manager FTP
- FFFTP
- FTP Commander Deluxe
- FTP Commander Pro
- FTP Explorer
- FTP Navigator
- FTP Now
- FTP Surfer
- FTP++
- FTPGetter
- FTPRush
- FTPWare
- Frigate3 FTP
- GPSoftware
- GoFTP
- Ipswitch
- LEAPFTP
- LeechFTP
- P32bit FTP
- SmartFTP
- SoftX FTP
- Staff-FTP
- TurboFTP
- WS_FTP
- WinFTP
- XFTP
- FileZilla
- SecureFX
- FlashFXP
- UltraFXP
- FreshFTP
- Cyberduck
- FTP Shell
- TFTPInfo
マルウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから、以下のアカウント情報を収集します。
- FTP User Name
- FTP Password
- FTP Server Name
- Port Number
マルウェアは、以下のブラウザから、ユーザ名、パスワードやホスト名といった保存された情報を収集します。
- Chrome
- Chromium
- ChromePlus
- Bromium
- Nichrome
- Comodo
- RockMelt
- CoolNovo
- ChromePlus
- Yandex
その他
マルウェアは、以下のファイルを作成します。
- {Removable Drive Letter}:\Shortcut to {filename}.lnk ← shortcut link pointing to the malware copy
マルウェアは、感染コンピュータ内に自身のコピーを以下のように作成して実行します。自身のコピーも「WORM_KELIHOS.YVI 」として検出されます。
- {existing directory}\{random filename}.ex
マルウェアは、既存のディレクトリ内に自身のコピーを作成する際、以下のファイル名のいずれかを使用します。- acrord32
- agent
- alg
- ati2evxx
- avguard
- batch
- block
- ccapp
- ccevtmgr
- ccsetmgr
- convert
- decompile
- defwatch
- dit
- download
- dwm
- edit
- em_exec
- explorer
- extract
- ezsp_px
- file
- firefox
- fix
- gearsec
- hkcmd
- hkcr
- htpatch
- ielowutil
- ieuser
- iexplore
- igfxtray
- install
- isuspm
- java
- jqs
- jucheck
- jusched
- khalmnpr
- klwtblfs
- lame
- launch
- lsass
- lucoms
- mac
- mcshield
- mcvsescn
- msascui
- mscorsvw
- mspmspsv
- naprdmgr
- navapsvc
- nprotect
- ntvdm
- nvsvc32
- nvxdsync
- nwiz
- open
- pctspk
- pdvddxsrv
- play
- point32
- qbw32
- qttask
- rename
- run
- rundll32
- services
- setup
- sidebar
- smc
- spoolsv
- svchost
- taskman
- terraria
- toaster
- trustedinstaller
- unhide
- unpack
- unzip
- update
- upgrade
- uptime
- view
- vsmon
- webscanx
- winlogon
- wisptis
- wmpnetwk
- wmpnscfg
- xsd
- zcfgsvc
- zip
- zumodrive
マルウェアは、以下のファイルも作成します。このファイルは、後に削除されます。
- {malware path}\tmp.exe
マルウェアは、すべての物理ドライブおよびリムーバブルドライブ内に以下のように自身のコピーを作成します。
- {Removable Drive Letter}:\{filename}.exe
"{file name}" には以下のいずれかが当てはまります。- password
- screensaver
- click
- installer
- hentai
- install
- run
- setup
- porn
- game
マルウェアは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。
- http://{random generated IP addresses}/{variable}.htm
"{variable}" には以下のいずれかが当てはまります。- file
- online
- main
- start
- install
- login
- setup
- welcome
- search
- home
- default
- index
マルウェアは、以下のファイルを作成します。
- マルウェアは、"WinPcap" をインストールします。これは、一般にも利用される正規のWindows用パケットキャプチャライブラリであり、ここでは、感染したコンピュータのネットワーク活動の監視に使用されます。この一連の活動は、以下の無害なファイルを作成してインストールすることにより可能となります。
- %System%\packet.dll
- %System%\wpcap.dll
- %System%\drivers\npf.sys
(註：%System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。)
マルウェアは、上述のFTPクライアントおよびファイルマネージャのいずれかから以下のアカウント情報を収集します。
- FTPのユーザ名
- FTPのパスワード
- FTPのサーバ名
- ポート番号
マルウェアは、以下のファイルも作成します。このファイルは、マルウェアのコピーへ誘導するショートカットファイルです。
- {Removable Drive Letter}:\Shortcut to {filename}.lnk
マルウェアは、以下の動作を実行します。
- マルウェアは、実行後、自身のファイル属性を「読み取り専用」および「隠しファイル」に変更します。
- マルウェアは、HTTPプロトコル（TCP ポート80番）を介してリモートサーバと暗号化されたメッセージのやりとりを行います。また、リモートホストと通信する際、以下の細工されたユーザエージェントを利用します。
- Mozilla/5.0 (Windows NT 5.1) Gecko/20100101 Firefox/14.0 Opera/12.0
- Opera/9.80 (Windows NT 5.1; U; zh-sg) Presto/2.9.181 Version/12.00
- Opera/9.80 (Windows NT 6.1; U; es-ES) Presto/2.9.181 Version/12.00
- Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.0) Opera 12.14
- Mozilla/5.0 (Windows NT 6.0; rv:2.0) Gecko/20100101 Firefox/4.0 Opera 12.14
- Opera/9.80 (Windows NT 6.0) Presto/2.12.388 Version/12.14
- Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_6_7; da-dk) AppleWebKit/533.21.1 (KHTML, like Gecko) Version/5.0.5 Safari/533.21.1
- Mozilla/5.0 (Macintosh; U; Intel Mac OS X 10_6_8; de-at) AppleWebKit/533.21.1 (KHTML, like Gecko) Version/5.0.5 Safari/533.21.1
- Mozilla/5.0 (iPad; CPU OS 5_1 like Mac OS X) AppleWebKit/534.46 (KHTML, like Gecko ) Version/5.1 Mobile/9B176 Safari/7534.48.3
- Mozilla/5.0 (Macintosh; Intel Mac OS X 10_7_3) AppleWebKit/534.55.3 (KHTML, like Gecko) Version/5.1.3 Safari/534.53.10
- Mozilla/5.0 (Macintosh; Intel Mac OS X 10_6_8) AppleWebKit/537.13+ (KHTML, like Gecko) Version/5.1.7 Safari/534.57.2
- Mozilla/5.0 (iPad; CPU OS 6_0 like Mac OS X) AppleWebKit/536.26 (KHTML, like Gecko) Version/6.0 Mobile/10A5355d Safari/8536.25
- Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; WOW64; Trident/5.0; chromeframe/12.0.742.112)
- Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 6.1; WOW64; Trident/5.0; SLCC2; Media Center PC 6.0; InfoPath.3; MS-RTC LM 8; Zune 4.7)
- Mozilla/5.0 (compatible; MSIE 9.0; Windows NT 7.1; Trident/5.0)
- Mozilla/5.0 (Windows; U; MSIE 9.0; Windows NT 9.0; en-US)
- Mozilla/1.22 (compatible; MSIE 10.0; Windows 3.1)
- Mozilla/4.0 (compatible; MSIE 10.0; Windows NT 6.1; Trident/5.0)
- Mozilla/5.0 (compatible; MSIE 10.0; Macintosh; Intel Mac OS X 10_7_3; Trident/6.0)
- Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; Trident/4.0; InfoPath.2; SV1; .NET CLR 2.0.50727; WOW64)
- Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; Trident/5.0)
- Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; Trident/6.0)
- Mozilla/5.0 (compatible; MSIE 10.0; Windows NT 6.1; WOW64; Trident/6.0)
- Mozilla/5.0 (Macintosh; Intel Mac OS X 10.8; rv:21.0) Gecko/20100101 Firefox/21.0
- Mozilla/5.0 (Windows NT 5.0; rv:21.0) Gecko/20100101 Firefox/21.0
- Mozilla/5.0 (Windows NT 5.1; rv:21.0) Gecko/20100101 Firefox/21.0
- Mozilla/5.0 (Windows NT 5.1; rv:21.0) Gecko/20130331 Firefox/21.0
- Mozilla/5.0 (Windows NT 5.1; rv:21.0) Gecko/20130401 Firefox/21.0
- Mozilla/5.0 (Windows NT 6.1; rv:21.0) Gecko/20100101 Firefox/21.0
- Mozilla/5.0 (Windows NT 6.1; rv:21.0) Gecko/20130328 Firefox/21.0
- Mozilla/5.0 (Windows NT 6.1; rv:21.0) Gecko/20130401 Firefox/21.0
- Mozilla/5.0 (Windows NT 6.1; WOW64; rv:21.0) Gecko/20100101 Firefox/21.0
- Mozilla/5.0 (Windows NT 6.1; WOW64; rv:21.0) Gecko/20130330 Firefox/21.0
- Mozilla/5.0 (Windows NT 6.1; WOW64; rv:21.0) Gecko/20130331 Firefox/21.0
- Mozilla/5.0 (Windows NT 6.1; WOW64; rv:21.0) Gecko/20130401 Firefox/21.0
- Mozilla/5.0 (Windows NT 6.2; rv:21.0) Gecko/20130326 Firefox/21.0
- Mozilla/5.0 (X11; Linux i686; rv:21.0) Gecko/20100101 Firefox/21.0
- Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:21.0) Gecko/20100101 Firefox/21.0
- Mozilla/5.0 (X11; Ubuntu; Linux x86_64; rv:21.0) Gecko/20130331 Firefox/21.0
- Mozilla/5.0 (Windows NT 6.1; rv:22.0) Gecko/20130405 Firefox/22.0
- Mozilla/5.0 (Windows NT 6.1; Win64; x64; rv:22.0) Gecko/20130328 Firefox/22.0
- Mozilla/5.0 (Windows NT 6.2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/28.0.1464.0 Safari/537.36
- Mozilla/5.0 (Windows NT 6.2) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/28.0.1467.0 Safari/537.36
- Mozilla/5.0 (Windows NT 6.1) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/28.0.1468.0 Safari/537.36
- Mozilla/5.0 (Windows NT 6.2; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/29.0.1547.2 Safari/537.36
- Mozilla/5.0 (compatible; MSIE 9.0; AOL 9.7; AOLBuild 4343.19; Windows NT 6.1; WOW64; Trident/5.0; FunWebProducts)
- Mozilla/5.0 (compatible; MSIE 8.0; Windows NT 6.0; Trident/4.0; Acoo Browser 1.98.744; .NET CLR 3.5.30729)
- マルウェアは、以下のファイルから情報を収集します。
- %Application Data%\Bitcoin\wallet.dat
- マルウェアは、以下の文字列を含むEメールおよびFTPアカウントから情報を収集するために、ネットワークトラフィックを監視します。
- @
- AUTH
- Authorization
- Basic
- CONNECT
- ftp
- http
- PASS
- PLAIN
- pop3
- pop3_smtp
- PUT
- smtp
- USER
- マルウェアは、リムーバブルドライブ内に存在するフォルダ名を使用し、自身のコピーに誘導するショートカットファイル（拡張子LNK）を作成します。その後、元のフォルダを隠すことにより、ユーザに作成したLNKファイルをクリックさせようとします。
(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Application Data"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。
マルウェアがWindows起動時に自動実行されるよう追加するレジストリ値の "{random parameter 1}" には、以下のいずれかが該当します。
- Network
- Time
- CrashReport
- Connection
- Database
- Folder
- Icon
- Desktop
- Tray
- Video
- Media
マルウェアがWindows起動時に自動実行されるよう追加するレジストリ値の "{random parameter 2}" には、以下のいずれかが該当します。
- Informer
- Verifyer
- Saver
- Notifyer
- Checker
- Updater
マルウェアは、ルートキット機能を備えていません。
マルウェアは、脆弱性を利用した感染活動を行いません。
対応方法
手順 1
Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
このマルウェアもしくはアドウェア等の実行により、手順中に記載されたすべてのファイル、フォルダおよびレジストリキーや値がコンピュータにインストールされるとは限りません。インストールが不完全である場合の他、オペレーティングシステム（OS）の条件によりインストールがされない場合が考えられます。手順中に記載されたファイル／フォルダ／レジストリ情報が確認されない場合、該当の手順の操作は不要ですので、次の手順に進んでください。
手順 3
Windowsをセーフモードで再起動します。
手順 4
このレジストリ値を削除します。
警告：レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
- {random parameter 1}{random parameter 2} = "{malware path and file name}"
- {random parameter 1}{random parameter 2} = "{malware path and file name}"
手順 5
以下のファイルを検索し削除します。
- {malware path}\tmp.exe
- {Removable Drive Letter}:\Shortcut to {filename}.lnk
手順 6
コンピュータを通常モードで再起動し、最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「WORM_KELIHOS.YVI」と検出したファイルの検索を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか？ アンケートにご協力ください