��Necurs�Ȥϡ��ޥ륦�����θ��ΤȽ���λ�ߤ�˸�����뤿��Υ����ͥ�⡼�ɥɥ饤�Фǡ��������ǺǤ�ͭ̾�ʤ�Τ���GOZ��Gameover Zeus���ǻȤ��Ƥ��롣���Ǥ�Peter Ferrie�ˤ�������ǡ�Necurs�ɥ饤�Фε���Ū�ʾܺ٤�����Ū�˼��夲���Ƥ��뤬���桹��ʬ����ˤ��붽̣�������˵��դ�����Nucurs�ϡ����Ф���Υ��饤�०�����ץ⥸�塼��Ȥ����ʳ�Ū�˼����ޤ�Ƥ���Τ���

���桹��Necurs�ɥ饤�ФκǸŤΥС������򸫤��Τ�2011ǯ5��ǡ�������ɥ����󷿤Υޥ륦�����Ȥ��Ƥ��ä���2012ǯ��Ƭ�ˡ�����ȥ��������Ϸ��Υ�����������ˤ�äƥɥ��åפ����Τ��¬���������ޤǤϡ�¾�Υޥ륦�����Ȥδ�Ϣ�Ϥʤ��ä������λ��ϥ桼���⡼�ɤΥ���ݡ��ͥ�ȤǤ����ʤ��ä������ɥ饤�ФȤ���Necurs�ȸƤФ��褦�ˤʤä���

��GOZ�������ɥ饤�Ф�Ʊ������Ƥ���Τ��ܤˤ����Τϡ�2014ǯ��2��˲᤮�ʤ�������������������٤���ޤä���GOZ�ܥåȥͥåȤδ���ü���ϲ�������ã�����Τȿ��ꤵ��Ƥ��ꡢ��˥���饤��Х󥭥󥰤ˤ��������Ѥ����Ƥ��롣

��GOZ��Necurs���Ȥ߹��ޤ�����ϡ���Ϣ����ɥ饤��̵����ư��Ƥ�������FBI��Federal Bureau of Investigations�ˤ����Ǻ���򳫻Ϥ�����2����Ⱦ���ˡ����ΥܥåȥͥåȤ�Necurs���ä���줿�ΤϤ��ʤ깥�񿴤򤽤��롣

��Necurs�ɥ饤�Ф��߷פǶ�̣�����Τϡ������ɥѡ��ƥ������Ѥ���ݡ���Ԥˤ�뽤��������ɬ�פʤ��Ȥ�������Necurs�ɥ饤�Ф������ȥ��󥹥ȡ���˻Ȥ��Ƥ���ɥ��åѡ��Υ����ɤϡ�Necurs�Υȥ��������Ϸ��Υ������������GOZ��������Ʊ����Τ����Ĥޤ��Ԥϡ��ɥ饤�Ф����Ѳ�ǽ�ˤ��뤿���ɬ�פʤ�Τ򤹤٤��󶡤��Ƥ���Τ���

���ɥ��åѡ��Υ����ɤϥ����륳���ɤ��ͼ��ǵ��Ҥ���Ƥ��Ƥ��Τޤ޼¹Բ�ǽ�Ǥ��ꡢ���Υɥ饤�Ф�Ȥä��ޥ륦�������ǽ�Ū�ˤɤ�ʤ�ΤǤ��졢��ñ�˥����������ɤ˴ޤ�뤳�Ȥ��Ǥ���褦�ˤʤäƤ��롣

��Necurs�θܵҤ˥����������ɤ��Ϥ�ɬ�פϤʤ���ñ�˥����ӥ��������ͤ�Ŭ�ڤ����ꤹ������ǡ�Ǥ�դμ¹ԥե�������ݸ��褦�˥ɥ饤�Ф��ñ������Ǥ��롣�ݸ�٤��ե������̾�Τϡ��ɥ饤�ФΥ����ӥ�����DisplayName���ͤ����������롣

���ºݤΥե��ߥ꡼�����Ǥ��졢�桼���⡼�ɤΥ���ݡ��ͥ�Ȥ���ɥ饤�Ф�̿���Ϳ������褦�ˤ��������ѥ��󥿡��ե�������Necurs���Ȥ߹��ޤ�Ƥ��롣�����IRP_MJ_DEVICE_CONTROL�Ȥ����ꥯ�����ȤǼ¹Ԥ���롣�����DeviceIoControl�Ȥ����桼���⡼�ɤ�API���̤��������Ǥ��롣

���桼���⡼�ɤΥ���ݡ��ͥ�Ȥ��ǽ���������ʤ���Фʤ�ʤ����楳���ɤ�0x220000�Ǥ��롣Necurs�ɥ饤�ФϤ�����������ȡ��ɥ饤�Ф�����Ǥ���ץ������Ȥ��ơ��ꥯ�����Ȥ����դ���ץ������Υϥ�ɥ����¸���롣���Υ��ޥ�ɤϥ֡��ȥ��åפ��Ȥ�1�٤��������դ��ʤ���

������ץ������Ȥ�����¸�����ˤϡ������ꥯ�������Ѥ�IRP.AssociatedIrp.SystemBuffer��12�Х���Ĺ�ǡ��ʤ����İʲ���2�ĤΥ����å����̤�ɬ�פ����롣

   •  first_dword ^ 0xdeadc0de == second_dword
   •  first_dword ^ third_dword == �ꥯ�����Ȥ����������ץ�������pid

������˥����å������ꡢ���楳���ɤ���������ץ�������̾�Τ�Necurs�Υ����ӥ�������DisplayName�ե�����ɤ�Ʊ��Ǥʤ���Фʤ�ʤ�������ˤ�ꡢNecurs���ݸ��ե�����̾���Ф��ƥ����������褦�ȥ��ޥ�ɤ��������롢˾�ޤ̥ץ���������򤷤Ƥ��롣

��Necurs�ϰʲ���ޤᡢ���15���̡���IoControlCode���å��󤹤롣

   •  0x220000 Necurs�ޥ������Ȥ��ƥץ���������Ͽ
   •  0x22000c Necurs�ɥ饤�ФΥѥ������
   •  0x220010 Necurs�Υ����ӥ�������̾�Τ����
   •  0x220018 Necurs�ɥ饤�Ф򹹿��ʥɥ饤�Хե��������Ȥ���IRP.AssociatedIrp.SystemBuffer��Υǡ������֤����������
   •  0x22001c Necurs�ɥ饤�Ф򥢥󥤥��ȡ���
   •  0x220028 pid�ˤ��ץ�������λ
   •  0x22002c ̾���ˤ��ץ�������λ

���ƥ��ޥ�ɤ�Ƥ֥����ɤϡ��ɥ饤�ФΥ��󥹥ȡ����Ԥ��ɥ��åѡ��Υ�������˴ޤޤ�Ƥ��롣

Necurs

���������ä���ħ���ܼ�Ū�ˡ�Necurs�ɥ饤�Ф���Τ���ӥ����ɥѡ��ƥ��ˤ����Ѥˤ��ޤ�Ŭ�礵���Ƥ��롣�����GOZ�Υȥ��������Ϥ��Ѥ����Ƥ��뤳�Ȥ�������Ǥ��롣�ܥåȥͥåȤ���Ǥ��븽�ߤλ�ߤϡ�Necurs�κ���Ρָܵҡפα��Ĥ�˸���ˤʤäƤ���褦���������ʤ��Ȥ⤷�Ф餯�δ֤�����������

�����Ҥ�Necurs�ɥ饤�ФΥХꥢ��Ȥ�Rootkit.Necurs�Ȥ��Ƹ��Τ��롣

��—————

��Post by — Mikko S