��Necurs�Ȥϡ��ޥ륦�����θ��ΤȽ���λ�ߤ�˸�����뤿��Υ����ͥ�⡼�ɥɥ饤�Фǡ��������ǺǤ�ͭ̾�ʤ�Τ���GOZ��Gameover Zeus���ǻȤ��Ƥ��롣���Ǥ�Peter Ferrie�ˤ�������ǡ�Necurs�ɥ饤�Фε���Ū�ʾܺ٤�����Ū�˼��夲���Ƥ��뤬���桹��ʬ����ˤ��붽̣�������˵��դ�����Nucurs�ϡ����Ф���Υ��饤�०�����ץ⥸�塼��Ȥ����ʳ�Ū�˼����ޤ�Ƥ���Τ���
���桹��Necurs�ɥ饤�ФκǸŤΥС��������Τ�2011ǯ5��ǡ�������ɥ����Υޥ륦�����Ȥ��Ƥ��ä���2012ǯ��Ƭ�ˡ�����ȥ��������Ϸ��Υ�����������ˤ�äƥɥ��åפ����Τ��¬���������ޤǤϡ�¾�Υޥ륦�����Ȥδ�Ϣ�Ϥʤ��ä������λ��ϥ桼���⡼�ɤΥ���ݡ��ͥ�ȤǤ����ʤ��ä������ɥ饤�ФȤ���Necurs�ȸƤФ��褦�ˤʤä���
��Necurs�ϰʲ���ޤᡢ���15���̡���IoControlCode���å��롣
��—————
��Post by — Mikko S
���桹��Necurs�ɥ饤�ФκǸŤΥС��������Τ�2011ǯ5��ǡ�������ɥ����Υޥ륦�����Ȥ��Ƥ��ä���2012ǯ��Ƭ�ˡ�����ȥ��������Ϸ��Υ�����������ˤ�äƥɥ��åפ����Τ��¬���������ޤǤϡ�¾�Υޥ륦�����Ȥδ�Ϣ�Ϥʤ��ä������λ��ϥ桼���⡼�ɤΥ���ݡ��ͥ�ȤǤ����ʤ��ä������ɥ饤�ФȤ���Necurs�ȸƤФ��褦�ˤʤä���
��GOZ�������ɥ饤�Ф�Ʊ������Ƥ���Τ��ܤˤ����Τϡ�2014ǯ��2��˲�ʤ�������������������٤���ޤä���GOZ�ܥåȥͥåȤδ���ü���ϲ�������ã�����Τȿ��ꤵ��Ƥ��ꡢ��˥���饤��Хˤ��������Ѥ����Ƥ��롣
��GOZ��Necurs���Ȥ߹��ޤ�����ϡ���Ϣ����ɥ饤��̵����ư��Ƥ�������FBI��Federal Bureau of Investigations�ˤ����Ǻ���Ϥ�����2����Ⱦ���ˡ����ΥܥåȥͥåȤ�Necurs���ä���줿�ΤϤ��ʤ깥���롣
��Necurs�ɥ饤�Ф��߷פǶ�̣�����Τϡ������ɥѡ��ƥ������Ѥ���ݡ���Ԥˤ�뽤��������ɬ�פʤ��Ȥ�������Necurs�ɥ饤�Ф������ȥ��ȡ���˻Ȥ��Ƥ���ɥ��åѡ��Υ����ɤϡ�Necurs�Υȥ��������Ϸ��Υ������������GOZ��������Ʊ����Τ����Ĥޤ��Ԥϡ��ɥ饤�Ф����Ѳ�ǽ�ˤ��뤿���ɬ�פʤ�Τ٤����Ƥ���Τ���
���ɥ��åѡ��Υ����ɤϥ����륳���ɤ��ͼ��ǵ��Ҥ���Ƥ��Ƥ��Τޤ¹Բ�ǽ�Ǥ��ꡢ���Υɥ饤�Ф�Ȥä��ޥ륦�������ǽ�Ū�ˤɤ�ʤ�ΤǤ��졢��ñ�˥����������ɤ˴ޤ�뤳�Ȥ��Ǥ���褦�ˤʤäƤ��롣
��Necurs�θܵҤ˥����������ɤ��Ϥ�ɬ�פϤʤ���ñ�˥����ӥ��������ͤ�Ŭ�ڤ����ꤹ������ǡ�Ǥ�դμ¹ԥե�������ݸ��褦�˥ɥ饤�Ф��ñ������Ǥ��롣�ݸ�٤��ե������̾�Τϡ��ɥ饤�ФΥ����ӥ�����DisplayName���ͤ����������롣
���ºݤΥե��ߥ�����Ǥ��졢�桼���⡼�ɤΥ���ݡ��ͥ�Ȥ���ɥ饤�Ф�̿���Ϳ������褦�ˤ��������ѥ����ե�������Necurs���Ȥ߹��ޤ�Ƥ��롣�����IRP_MJ_DEVICE_CONTROL�Ȥ����ꥯ�����ȤǼ¹Ԥ���롣�����DeviceIoControl�Ȥ����桼���⡼�ɤ�API���̤��������Ǥ��롣
���桼���⡼�ɤΥ���ݡ��ͥ�Ȥ��ǽ���������ʤ���Фʤ�ʤ����楳���ɤ�0x220000�Ǥ��롣Necurs�ɥ饤�ФϤ�����������ȡ��ɥ饤�Ф�����Ǥ���ץ������Ȥ��ơ��ꥯ�����Ȥ����դ���ץ������Υϥ�ɥ����¸���롣���Υ��ޥ�ɤϥ֡��ȥ��åפ��Ȥ�1�٤��������դ��ʤ���
������ץ������Ȥ�����¸�����ˤϡ������ꥯ�������Ѥ�IRP.AssociatedIrp.SystemBuffer��12�Х���Ĺ�ǡ��ʤ����İʲ���2�ĤΥ����å����̤�ɬ�פ����롣
• first_dword ^ 0xdeadc0de == second_dword
• first_dword ^ third_dword == �ꥯ�����Ȥ����������ץ�������pid
������˥����å������ꡢ���楳���ɤ���������ץ�������̾�Τ�Necurs�Υ����ӥ�������DisplayName�ե�����ɤ�Ʊ��Ǥʤ���Фʤ�ʤ�������ˤ�ꡢNecurs���ݸ��ե�����̾���Ф��ƥ����������褦�ȥ��ޥ�ɤ��������롢˾�ޤ̥ץ���������Ƥ��롣
��Necurs�ϰʲ���ޤᡢ���15���̡���IoControlCode���å��롣
• 0x220000 Necurs�ޥ������Ȥ��ƥץ���������Ͽ
• 0x22000c Necurs�ɥ饤�ФΥѥ������
• 0x220010 Necurs�Υ����ӥ�������̾�Τ����
• 0x220018 Necurs�ɥ饤�Ф��ʥɥ饤�Хե��������Ȥ���IRP.AssociatedIrp.SystemBuffer��Υǡ������֤����������
• 0x22001c Necurs�ɥ饤�Ф��ȡ���
• 0x220028 pid�ˤ��ץ�������λ
• 0x22002c ̾���ˤ��ץ�������λ
���ƥ��ޥ�ɤ�Ƥ֥����ɤϡ��ɥ饤�ФΥ��ȡ����Ԥ��ɥ��åѡ��Υ�������˴ޤޤ�Ƥ��롣
���������ä���ħ���ܼ�Ū�ˡ�Necurs�ɥ饤�Ф���Τ���ӥ����ɥѡ��ƥ��ˤ����Ѥˤ��ޤ�Ŭ�礵���Ƥ��롣�����GOZ�Υȥ��������Ϥ��Ѥ����Ƥ��뤳�Ȥ�������Ǥ��롣�ܥåȥͥåȤ���Ǥ��븽�ߤλ�ߤϡ�Necurs�κ���Ρָܵҡפα��Ĥ�˸���ˤʤäƤ���褦���������ʤ��Ȥ⤷�Ф餯�δ֤�����������
�����Ҥ�Necurs�ɥ饤�ФΥХꥢ��Ȥ�Rootkit.Necurs�Ȥ��Ƹ��Τ��롣
��—————
��Post by — Mikko S