解析者: Rhena Inocencio   
 別名:

Win64/Expiro.A virus (NOD32), W64/Expiro !! (McAfee)

 プラットフォーム:

Windows XP (64-bit), Windows Vista (64-bit), Windows 7 (64-bit)

 危険度:
 ダメージ度:
 感染力:
 感染確認数:
 情報漏えい:

  • マルウェアタイプ:
    ファイル感染型

  • 破壊活動の有無:
    なし

  • 暗号化:
    はい

  • 感染報告の有無 :
    はい

  概要

感染経路 インターネットからのダウンロード, 他のマルウェアからの作成

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、対象とするファイルのエントリポイントで確認したコードを上書きします。そして、その対象とするファイルにウイルス本体を追記します。なお、ウイルスが上書きしたコードは、ウイルス本体に保存されます。

ウイルスは、感染コンピュータや感染ユーザから特定の情報を収集します。

  詳細

ファイルサイズ 不定
タイプ EXE
メモリ常駐 はい
発見日 2013年7月9日
ペイロード 情報収集, システム情報の収集, URLまたはIPアドレスに接続

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ファイル感染

ウイルスは、対象とするファイルのエントリポイントで確認したコードを上書きします。そして、その対象とするファイルにウイルス本体を追記します。なお、ウイルスが上書きしたコードは、ウイルス本体に保存されます。

ウイルスは、以下のフォルダ内で対象とするファイルを検索します。

  • Current Directory
  • %Start Menu%
  • All available drive

(註：%Start Menu%フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Windows\Start Menu" または "C:\Documents and Settings\＜ユーザ名＞\Start Menu"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming\Microsoft\Windows\Start Menu" です。)

情報漏えい

ウイルスは、以下の情報を収集します。

  • Windows Product ID
  • Drive Volume Serial Number
  • OS Version
  • User credentials
  • FileZilla Information

情報収集

収集した情報は、以下のファイルに保存されます。

  • %Application Data%\{random filename}.dll

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ウイルスは、HTTPポスト を介して、収集した情報を以下のURLに送信します。

  • www.{BLOCKED}vrc-usb33bit.Com
  • www.{BLOCKED}skygay-formula.in
  • www.{BLOCKED}-vostok.ws
  • {BLOCKED}illusionist.net
  • {BLOCKED}illusionist.com
  • {BLOCKED}ed.ru
  • {BLOCKED}sur.ru
  • {BLOCKED}n-from-iran.net
  • {BLOCKED}p-beavis.ru
  • {BLOCKED}dka-ww2.ru
  • {BLOCKED}mers50.ru
  • {BLOCKED}festores.cc
  • {BLOCKED}rc-usb33bit.com
  • {BLOCKED}ortal-2016.ru
  • {BLOCKED}e-policy2011.ru
  • {BLOCKED}eadshop.ru
  • {BLOCKED}bank.ru
  • {BLOCKED}axxlub.ru
  • {BLOCKED}skygay-formula.in
  • {BLOCKED}hop-ultras.org
  • {BLOCKED}-vostok.ws
  • {BLOCKED}-gunszavod.ru
  • {BLOCKED}-job.ru
  • {BLOCKED}platker.ru
  • {BLOCKED}southoffshore.com
  • {BLOCKED}-efal.ru
  • {BLOCKED}a-govsvc.ru
  • {BLOCKED}retails555.biz
  • {BLOCKED}bizneonet.biz
  • {BLOCKED}-na-rukave.org
  • {BLOCKED}ron-oriental.ru
  • {BLOCKED}romarenda.ru

その他

ウイルスが収集する情報は、以下のとおりです。

  • WindowsのプロダクトID
  • ドライブボリュームのシリアル番号
  • オペレーティングシステム（OS）の種類
  • ユーザの認証情報
  • FileZillaの情報

  対応方法

対応検索エンジン: 9.300
初回 VSAPI パターンバージョン 10.150.02
初回 VSAPI パターンリリース日 2013年7月12日
VSAPI OPR パターンバージョン 10.151.00
VSAPI OPR パターンリリース日 2013年7月13日

手順 1

Windows XP、Windows Vista および Windows 7 のユーザは、コンピュータからマルウェアもしくはアドウェア等を完全に削除するために、ウイルス検索の実行前には必ず「システムの復元」を無効にしてください。

手順 2

以下のファイルを検索し削除します。

[ 詳細 ]
コンポーネントファイルが隠しファイル属性に設定されている場合があります。[詳細設定オプション]をクリックし、[隠しファイルとフォルダの検索]のチェックボックスをオンにし、検索結果に隠しファイルとフォルダが含まれるようにしてください。  
  • %Application Data%\{random filename}.dll

手順 3

最新のバージョン（エンジン、パターンファイル）を導入したウイルス対策製品を用い、「PE64_EXPIRO.JX」と検出したファイルの駆除を実行してください。 検出されたファイルが、弊社ウイルス対策製品により既に駆除、隔離またはファイル削除の処理が実行された場合、ウイルスの処理は完了しており、他の削除手順は特にありません。


ご利用はいかがでしたか？　アンケートにご協力ください