![Trend Micro Security](https://www.trendmicro.com/content/dam/trendmicro/global/en/global/logo/logo-desktop.png)
WORM_KOOBFACE.IT
Windows 98, ME, NT, 2000, XP, Server 2003
![](/vinfo/imgFiles/JPlegend.jpg)
- マルウェアタイプ: ワーム
- 破壊活動の有無: なし
- 暗号化: なし
- 感染報告の有無: はい
概要
ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 ワームは、他のマルウェアに作成され、コンピュータに侵入します。 ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
ワームは、特定のレジストリ値を削除するため、アプリケーションやプログラムが正しく起動しなくなります。
ワームは、ソーシャル・ネットワーキング・サイト(SNS)を介して感染活動をします。その際、感染ユーザのすべての連絡先に不正なリンクを送信します。この不正リンクは、ワームのコピーがダウンロードされるリモートサイトに誘導します。
ワームは、不正リモートユーザからリモートで受信する特定のコマンドを実行します。これにより、感染コンピュータおよび同コンピュータ上の情報は危険にさらされることとなります。
詳細
侵入方法
ワームは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。
ワームは、他のマルウェアに作成され、コンピュータに侵入します。
ワームは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。
インストール
ワームは、感染したコンピュータ内に以下のように自身のコピーを作成します。
- %Windows%\bill102.exe
(註:%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)
ワームは、以下のファイルを作成します。
- %Windows%\bk23567.dat - non-malicious file
(註:%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)
自動実行方法
ワームは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。
HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\
Windows\CURRENTVERSION\Run
sysfbtray = %Windows%\bill102.exe
他のシステム変更
ワームは、以下のレジストリキーを追加します。
HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\
Internet Explorer\Main
tp = 1000
ワームは、以下のレジストリ値を削除します。
HKEY_CURRENT_USER\AppEvents\Schemes\
Apps\Explorer\Navigation
(Default) =
感染活動
ワームは、スパム活動の過程で、メッセージを作成します。この送信用メッセージには、以下の詳細が記載されています。
Y ou must see this http://www.{BLOCKED}arquitectes.com/video
ワームは、以下のソーシャル・ネットワーキング・サイト(SNS)を標的とします。
ワームは、SNSを介して感染活動をします。その際、感染ユーザのすべての連絡先に不正なリンクを送信します。この不正リンクは、ワームのコピーがダウンロードされるリモートサイトに誘導します。
バックドア活動
ワームは、不正リモートユーザからの以下のコマンドを実行します。
- APPLE
- BASEDOMAIN
- DOMAIN_B
- DOMAIN_C
- DOMAIN_M
- FBTARGETPERPOST
- LINK_B
- LINK_C
- LINK_MH
- LINK_S
- LINK_W
- RAZLOG
- RCAPTCHA
- SI
- SIMPLEMODE
- START
- STARTIMG
- STARTONCE
- STARTONCEIMG
- TEXT_B
- TEXT_C
- TEXT_CH
- TEXT_M
- TEXT_S
- TEXT_W
- TITLE_B
- TITLE_M
- WAIT
ワームは、以下のWebサイトにアクセスし、不正リモートユーザからのコマンドを送受信します。
- {BLOCKED}0instantniches.com
- {BLOCKED}25wynr.net
- {BLOCKED}avench.com
- {BLOCKED}faheidi.kopavogur.is
- {BLOCKED}faheidi.thekking.is
- {BLOCKED}linadayswork.org
- {BLOCKED}lstateprocess.com
- {BLOCKED}icableresolutionsintl.com
- {BLOCKED}narsmari.kopavogur.is
- {BLOCKED}iandvdtime.com
- {BLOCKED}surance-selection.com
- {BLOCKED}autiteen.host
- {BLOCKED}zcontax.co.za
- {BLOCKED}aitman.net
- {BLOCKED}anderideklub.dk
- {BLOCKED}andtransfer.com
- {BLOCKED}evard-fl.com
- {BLOCKED}ightonrooms.co.uk
- {BLOCKED}isbanepropertysolutions.com.au
- {BLOCKED}usselslivestock.ca
- {BLOCKED}hillappraisal.com
- {BLOCKED}delevator.com
- {BLOCKED}ramicrestoration.co.za
- {BLOCKED}dataservices.net
- {BLOCKED}urchmousepublications.com
- {BLOCKED}edit-selection.com
- {BLOCKED}srmspos.com
- {BLOCKED}veshieldsphotography.com
- {BLOCKED}ltaboats.com
- {BLOCKED}ntistschoice-fl.com
- {BLOCKED}pannage-selection.com
- {BLOCKED}scovertotalhealth.com
- {BLOCKED}rothycooley.com
- {BLOCKED}nasales.net
- {BLOCKED}sygiftgiving.com
- {BLOCKED}enailyina.com
- {BLOCKED}essere.itties.com.tr
- {BLOCKED}pcocoa.com
- {BLOCKED}miliespil.dk
- {BLOCKED}arms.net
- {BLOCKED}fusalir.kopavogur.is
- {BLOCKED}anknelsonbuilding.com
- {BLOCKED}igologistics.nl
- {BLOCKED}y-stay.co.uk
- {BLOCKED}ldmaniac.com
- {BLOCKED}ninja.fastlearningbrain.com
- {BLOCKED}eenhealthyliving4u.netfirms.com
- {BLOCKED}eystoneofellijay.com
- {BLOCKED}inde.dk
- {BLOCKED}ypacot.com
- {BLOCKED}galleri.com
- {BLOCKED}althmann.pk
- {BLOCKED}artdesigns.com
- {BLOCKED}diawildlifetourpackages.com
- {BLOCKED}-tech.biz
- {BLOCKED}secure.com
- {BLOCKED}tya.com
- {BLOCKED}stproud2b.com
- {BLOCKED}eplan.com
- {BLOCKED}pahvoll.kopavogur.is
- {BLOCKED}udunlardoiseavenir.fr
- {BLOCKED}onardandself.com
- {BLOCKED}d-i-bevaegelse.dk
- {BLOCKED}gnumopus.dk
- {BLOCKED}hjongmuseum.com
- {BLOCKED}niacs.com
- {BLOCKED}shburnsales.com
- {BLOCKED}mbermania.com
- {BLOCKED}rce-enville.fr
- {BLOCKED}tchellelectricinc.com
- {BLOCKED}mohanty.com
- {BLOCKED}defrugt.dk
- {BLOCKED}hammedistechnologies.com
- {BLOCKED}sthaveitjewelry.com
- {BLOCKED}cleveridea.co.za
- {BLOCKED}tempweb.com
- {BLOCKED}line-doors.co.uk
- {BLOCKED}rpetpix.com
- {BLOCKED}ker-selection.fr
- {BLOCKED}tar-business-guide.net
- {BLOCKED}lphcotton.net
- {BLOCKED}gime-selection.com
- {BLOCKED}ishus.de
- {BLOCKED}cardocarvalhoco.za
- {BLOCKED}tmotours.com.tr
- {BLOCKED}upnahaed.kopavogur.is
- {BLOCKED}cklamanna.com
- {BLOCKED}omservicedesign.com.au
- {BLOCKED}chaedeli.dyndns.org
- {BLOCKED}cotton.biz
- {BLOCKED}cotton.com
- {BLOCKED}lcukunal.net
- {BLOCKED}eenalarsen.com
- {BLOCKED}nonilimited.com
- {BLOCKED}ybluephoto.com
- {BLOCKED}arahvammur.kopavogur.is
- {BLOCKED}lash-kids.com
- {BLOCKED}evenslargetreesales.com
- {BLOCKED}rictlydetail.co.uk
- {BLOCKED}iminads.info
- {BLOCKED}lephone-selection.com
- {BLOCKED}e-word-is.com
- {BLOCKED}enutritiongroup.biz
- {BLOCKED}eonlinebizplace.com
- {BLOCKED}nytanks.net
- {BLOCKED}adersquants.com.mx
- {BLOCKED}affichits247.com
- {BLOCKED}ip4x4.co.il
- {BLOCKED}oytabor.com
- {BLOCKED}rk-ie.org
- {BLOCKED}dercoversquilting.com
- {BLOCKED}pfashiongroup.com
- {BLOCKED}vicohen.com
- {BLOCKED}iture-selection.com
- {BLOCKED}yages-selection.com
- {BLOCKED}lovetweet.com
- {BLOCKED}yviral.com
- {BLOCKED}-egypt.com
- www.{BLOCKED}gypten-mit-stefan.de
- www.{BLOCKED}faheidi.is
- www.{BLOCKED}stakigroup.com
- www.{BLOCKED}nmmoviesman.com
- www.{BLOCKED}municat-de-presa.ro
- www.{BLOCKED}inzahnarzt.com
- www.{BLOCKED}o-lesbians.com
- www.{BLOCKED}o-pussy.com
- www.{BLOCKED}m.it
- www.{BLOCKED}otic-food.ch
- www.{BLOCKED}stlearningbrain.com
- www.{BLOCKED}stpitchequipment.com
- www.{BLOCKED}rienhaus-muehlner.de
- www.{BLOCKED}vestar.ch
- www.{BLOCKED}oggnitzer-werbeatelier.de
- www.{BLOCKED}rangi.com
- www.{BLOCKED}rault-automobiles.Fr
- www.{BLOCKED}s-email.co.uk
- www.{BLOCKED}0-trinitains.com
- www.{BLOCKED}llabyah.com
- www.{BLOCKED}chausleidenschaft.de
- www.{BLOCKED}arningomaha.com
- www.{BLOCKED}breriabibliothe.it
- www.{BLOCKED}ssage-tom.com
- www.{BLOCKED}utiqa.com.sg
- www.{BLOCKED}eofakindsxm.com
- www.{BLOCKED}rfect-center.org
- www.{BLOCKED}unkafrique.net
- www.{BLOCKED}sd1pc.org
- www.{BLOCKED}eerasfolk-community.de
- www.{BLOCKED}-speedracing.at
- www.{BLOCKED}-speedracing.com
- www.{BLOCKED}senboernehave.dk
- www.{BLOCKED}gnyourweb.com
- www.{BLOCKED}monelliafi.it
- www.{BLOCKED}rgentedib
- www.{BLOCKED}bdesign.com.sg
- www.{BLOCKED}alasso-selection.com
- www.{BLOCKED}msmurf.com
- www.{BLOCKED}llesina.tv
- www.{BLOCKED}atherserve.net
- www.{BLOCKED}tone.ch
- {BLOCKED}urprofit.brevard-fl.com
- {BLOCKED}habit.com
ダウンロード活動
ワームは、以下のWebサイトにアクセスし、ファイルをダウンロードします。
- http:\\{BLOCKED}ybluephoto.com/.sys/?getexe=go.exe - detected as TROJ_AGENTT.EA
- http:\\{BLOCKED}ybluephoto.com/.sys/?getexe=v2webserver.exe - detected as Mal_Koob-2
- http:\\{BLOCKED}ybluephoto.com/.sys/?getexe=v2googlecheck.exe - detected as Mal_Koob-8
- http:\\{BLOCKED}ybluephoto.com/.sys/?getexe=v2captcha.exe - detected as WORM_KOOBFCE.SMM
その他
このワームのコードから、ワームは、以下の機能を備えています。
- Connects to social networking websites based on cookies it monitors
- Navigates to affected users’ FRIENDS list in the monitored social networking Web site
- Sends an HTTP POST request to the server once a friend has been located. As a reply, the server sends data which is actually the message to be sent to user's contacts.
- Composes a new message containing the data from the server and sends it to the user's friend. The new message contains a link where a copy of this worm can be downloaded.
- Performs routines such as reset itself, kill itself, exit its process, delete itself, and update itself
ワームは、以下のWebサイトにアクセスしてインターネット接続を確認します。
- http://www.{BLOCKED}.com
対応方法
手順 1
Windows XP および Windows Server 2003 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。
手順 2
この「WORM_KOOBFACE.IT」が作成、あるいは、ダウンロードした以下のファイルを検索し、検索した場合は削除してください。
手順 3
このレジストリ値を削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CURRENT_USER\SOFTWARE\MICROSOFT\Internet Explorer\Main
- tp = 1000
- tp = 1000
- In HKEY_LOCAL_MACHINE\SOFTWARE\MICROSOFT\Windows\CURRENTVERSION\Run
- sysfbtray = %Windows%\bill102.exe
- sysfbtray = %Windows%\bill102.exe
手順 4
このレジストリキーを削除します。
警告:レジストリはWindowsの構成情報が格納されているデータベースであり、レジストリの編集内容に問題があると、システムが正常に動作しなくなる場合があります。
レジストリの編集はお客様の責任で行っていただくようお願いいたします。弊社ではレジストリの編集による如何なる問題に対しても補償いたしかねます。
レジストリの編集前にこちらをご参照ください。
- In HKEY_CLASSES_ROOT\Mime\Database\Content Type
- application/xhtml+xml
- application/xhtml+xml
手順 5
以下のファイルを検索し削除します。
- %Windows%\bk23567.dat
手順 6
最新のバージョン(エンジン、パターンファイル)を導入したウイルス対策製品を用い、ウイルス検索を実行してください。「WORM_KOOBFACE.IT」と検出したファイルはすべて削除してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。
ご利用はいかがでしたか? アンケートにご協力ください