妊娠

Salityは、 Microsoft Windowsのシステムファイルを感染させる悪意のあるソフトウェア（マルウェア）のファミリーの分類名です。Salityは2003年に初めて発見され、その後、動的で持続的な、多機能な悪意のあるコードへと進化しました。Salityに感染したシステムは、ピアツーピア（P2P）ネットワークを介して通信し、ボットネットを形成してスパムの中継、プロキシ通信、機密データの流出、 Webサーバーの侵害、および/または分散コンピューティングタスクの調整による負荷の高いタスク（パスワードクラッキングなど）の処理を行う可能性があります。2010年以降、Salityの特定の亜種は、マルウェアファミリーの継続的な進化の一環として、ルートキット機能も組み込んでいます。継続的な開発と機能強化により、Salityは現在までに最も複雑で強力なマルウェアの1つと考えられています。

ほとんどのアンチウイルス（A/V）ベンダーは、このマルウェアファミリーを指す際に、以下の命名規則を使用しています。

• 妊娠
• SalLoad
• クークー
• サリコード
• クカッカ

Sality は、拡張子.EXEまたは.SCRの Windows 実行可能ファイルを標的とする多形性ファイル感染マルウェアのファミリーです。^{[ 1 ]} Sality は、多形性とエントリ ポイント隠蔽 (EPO) 技術を利用して、次の方法でファイルを感染させます。ホストのエントリ ポイント アドレスを変更せず、実行可能ファイルのエントリ ポイントにある元のホスト コードを変数スタブに置き換えて、実行をホスト ファイルの最後のセクションに挿入された多形性ウイルス コードにリダイレクトします。^{[ 2 ] [ 3 ]}スタブは、ローダーと呼ばれるセカンダリ領域を復号して実行します。最後に、ローダーは感染したプロセス内の別のスレッドで実行され、最終的に Sality ペイロードをロードします。^{[ 2 ]}

Sality は、特定の拡張子を持つファイルや特定の文字列で始まるファイルを削除したり、セキュリティ関連のプロセスやサービスを終了させたり、スパム メッセージを送信するためにユーザーのアドレス帳から電子メール アドレスを検索したり、[ ^{4 ]リモート}ホストに接続したりする悪意のあるペイロードを実行する可能性があります。Sality は、他のマルウェアをインストールしたり、インストールごとに課金されるアプリケーションを拡散したりする目的で、追加の実行可能ファイルをダウンロードすることもあります。Sality にはトロイの木馬コンポーネントが含まれている可能性があり、一部の亜種は、機密性の高い個人情報や金融データを盗む機能 (情報窃盗)、^{[ 5 ]} 、スパムを生成して転送する機能、HTTPプロキシ経由でトラフィックを転送する機能、Web サイトを感染させる機能、パスワード クラッキングなどの分散コンピューティング タスクを実行する機能、およびその他の機能を備えている可能性があります。^{[ 2 ]}

Salityのダウンローダー機構は、ピアツーピアコンポーネントを使用して受信したURLに記載されている追加のマルウェアをダウンロードして実行します。配布されたマルウェアはSalityペイロードと同じ「コード署名」を共有する可能性があり、これにより特定のグループに帰属したり、コードの大部分を共有していることが示される可能性があります。追加のマルウェアは通常、世界中に配置されている中央コマンドおよびコントロール（C&C）サーバーと通信し、報告します。Symantecによると、「ファイル感染メカニズムと完全に分散化されたピアツーピアネットワークの組み合わせにより、Salityは今日の脅威環境において最も効果的で回復力のあるマルウェアの1つとなっています。」^{[ 2 ]}

現在、ボットネットにはバージョン3とバージョン4の2つのバージョンが稼働している。これらのボットネットで流通しているマルウェアは、攻撃者によってデジタル署名されており、敵対的乗っ取りを防いでいる。近年、Salityは、侵害されたシステム上での永続性を維持し、アンチウイルスソフトウェアなどのホストベースの検出を回避するために、ルートキット技術も使用するようになった。^{[ 6 ]}

ボットネットの影響を最も受けた国はインド、ベトナム、モロッコであった。^{[ 7 ]}

Salityは感染したコンピュータのファイルを感染させます。ほとんどの亜種は、各コンピュータに一度だけドロップされるDLLを使用します。DLLファイルは、例えば次の2つの形式でディスクに書き込まれます。

• %SYSTEM%\wmdrtc32.dll
• %SYSTEM%\wmdrtc32.dl_

DLL ファイルには、ウイルスコードの大部分が含まれています。拡張子 ".dl_" のファイルは圧縮されたコピーです。Virus:Win32-Sality.AM などの最近の Sality の亜種は DLL をドロップせず、ディスクに書き込まずにメモリに完全にロードします。この亜種は、他の亜種と同様に、%SYSTEM%\drivers フォルダーにランダムなファイル名のドライバーもドロップします。他のマルウェアもコンピュータに Sality をドロップする場合があります。たとえば、Virus:Win32-Sality.AU として検出された Sality の亜種は、Worm:Win32-Sality.AU によってドロップされます。^{[ 1 ]}一部の Sality の亜種は、Device\amsint32 または \DosDevices\amsint32 という名前のデバイスを作成することでルートキットを含める場合もあります。^{[ 6 ]}

• Salityはメッセージフックをインストールすることで実行中のプロセスにコードを注入する可能性がある^{[ 9 ]}
• Sality は、ウイルス対策アップデートに関連するファイルを検索して削除しようとし、ウイルス対策やパーソナルファイアウォール プログラムなどのセキュリティ アプリケーションを終了させます。感染を回避したファイルと同じ文字列を含むセキュリティ アプリケーションを終了させようとし、特定のサブストリングを含むセキュリティ関連のサービスを終了させたり、セキュリティ関連の Web サイトへのアクセスをブロックしたりすることもあります^{[ 1 ] [ 2 ] [ 3 ] [ 8 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ] [ 17 ]}
• Sality の亜種は、コンピューターのレジストリを変更して Windows のセキュリティを低下させたり、Windows レジストリ エディターの使用を無効にしたり、隠し属性を持つファイルの表示を妨げたりする場合があります。一部の Sality 亜種は、HKCU\System\CurrentControlSet\Control\SafeBoot および HKLM\System\CurrentControlSet\Control\SafeBoot のレジストリ サブキーの下にあるすべてのレジストリ値とデータを再帰的に削除して、ユーザーが Windows をセーフ モードで起動できないようにします^{[ 1 ] [ 4 ] [ 8 ] [ 10 ] [ 11 ] [ 18 ] [ 19 ] [ 20 ]}
• Salityの亜種の中には、影響を受けたコンピュータに入力されたキャッシュされたパスワードやログに記録されたキーストロークなどの機密情報を盗むことができるものもある^{[ 1 ] [ 13 ] [ 15 ]。}
• Sality の亜種は通常、最大 1000 のピアの事前設定されたリストを使用して、インストールごとに支払う実行可能ファイルを含む他のファイルをダウンロードして実行しようとします。P2P ネットワークの目的は、ダウンローダー機能にフィードする URL のリストを交換することです。ファイルは Windows の一時ファイル フォルダーにダウンロードされ、ハードコードされた複数のパスワードのいずれかを使用して復号化されます^{[ 1 ] [ 2 ] [ 3 ] [ 5 ] [ 9 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ] [ 18 ] [ 20 ] [ 21 ]}
• Salityのペイロードの大部分は他のプロセスのコンテキストで実行されるため、駆除が困難で、マルウェアが一部のファイアウォールを回避できます。同じプロセスでの複数回の注入を回避するために、コードが注入されるすべてのプロセスに対してシステム全体のミューテックスが<process name>.exeM_<process ID>_作成され、これにより、複数のインスタンスが同時にメモリ内で実行されるのを防ぎます。^{[ 1 ]}
• Win32-Sality のいくつかの亜種は、%SYSTEM%\drivers フォルダーにランダムなファイル名のドライバーを配置して、セキュリティ関連のプロセスを終了したり、セキュリティ関連の Web サイトへのアクセスをブロックしたりするなど、同様の機能を実行します。また、特定のセキュリティ ソフトウェアが正しく動作しないように、システム サービス記述子テーブル (SSDT)フックを無効にすることもあります^{[ 1 ] [ 2 ] [ 3 ] [ 10 ] [ 11 ] [ 12 ] [ 18 ] [ 20 ] [ 22 ] [ 23 ]}
• Sality の亜種の中には、利用可能なリムーバブル/リモート ドライブやネットワーク共有に移動することで拡散するものがあります^{[ 1 ] [ 2 ] [ 3 ] [ 8 ] [ 9 ] [ 11 ] [ 12 ] [ 20 ]}
• Salityの亜種の中には、ドロップされたウイルスを自動的に実行する.LNKファイルをドロップするものもある^{[ 8 ]}
• Salityの亜種の中には、スパムメッセージを送信するためにユーザーのOutlookアドレス帳やInternet Explorerのキャッシュファイルから電子メールアドレスを検索し、リモートサーバーから取得した情報に基づいてスパムメッセージを送信するものもある^{[ 4 ]。}
• Sality は、感染マーカーとして構成ファイル %SystemRoot%\system.ini にセクションを追加したり、リモート ホストに接続してインターネット接続を確認したり、新しい感染をその作成者に報告したり、構成データやその他のデータを受信したり、任意のファイル (アップデートや追加のマルウェアを含む) をダウンロードして実行したり、リモート攻撃者から指示を受け取ったり、影響を受けたコンピュータから取得したデータをアップロードしたりする場合があります。一部の Sality 亜種はリモート接続を開き、リモート攻撃者が感染したコンピュータ上で任意のファイルをダウンロードして実行できるようにする場合があります^{[ 4 ] [ 9 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ] [ 18 ] [ 20 ] [ 21 ]}
• ウイルス:Win32-Sality.AT やウイルス:Win32-Sality.AU などの最近のバージョンの Sality に感染したコンピュータは、ピアツーピア (P2P) ネットワークに参加して他の感染コンピュータに接続し、追加のマルウェア コンポーネントを指す URL を受信します。P2P プロトコルはUDP上で動作し、P2P ネットワーク上で交換されるすべてのメッセージは暗号化され、ネットワークへの接続に使用されるローカル UDP ポート番号はコンピュータ名に基づいて生成されます^{[ 1 ]}
• Salityは、NtTerminateProcessによるプロセスの終了や、IPフィルタリングによる特定のアンチウイルスリソース（アンチウイルスベンダーのWebサイトなど）へのアクセスのブロックなどの機能を備えたドライバを含むルートキットを追加する可能性があります。後者では、ドライバがコールバック関数を登録する必要があり、この関数はパケットを破棄するか転送するかを決定するために使用されます（たとえば、文字列に包含リストのアンチウイルスベンダーの名前が含まれている場合はパケットを破棄します）^{[ 6 ]。}

Microsoft は、マルウェアに共通して関連付けられている数十個のファイルを特定しました。^{[ 1 ] [ 4 ] [ 8 ] [ 9 ] [ 10 ] [ 11 ] [ 12 ] [ 13 ] [ 14 ] [ 15 ] [ 16 ] [ 17 ] [ 21 ] [ 22 ] [ 23 ] [ 24 ] [ 25 ] [ 26 ] [ 27 ] Salityは、システム}上で永続性を維持するためにステルス対策を使用するため、ユーザーは削除するために信頼できる環境で起動する必要がある場合があります。Sality は^、 Windows レジストリなどの構成変更を行うこともあり、ウイルス対策のダウンロード、インストール、および/または更新を困難にします。また、Sality の多くの亜種は、利用可能なリムーバブル/リモート ドライブやネットワーク共有に拡散しようとするため、回復プロセスが、既知/可能性のあるすべての場所からマルウェアを完全に検出して削除することが重要です。

• コンピュータウイルス