PE_CAOLYWA.A-O

ウイルスは、リムーバブルドライブを介してコンピュータに侵入します。 ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。 ウイルスは、他のマルウェアに作成され、コンピュータに侵入します。

ウイルスは、標的とするホストファイルの末尾に自身のコードを追記することにより感染活動を実行します。 ウイルスは、上記ファイルにコードを挿入し、特定のファイル形式に感染します。 ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ウイルスは、不正リモートユーザからのコマンドを実行し、感染コンピュータを改ざんします。

侵入方法

ウイルスは、リムーバブルドライブを介してコンピュータに侵入します。

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、以下のマルウェアに作成され、コンピュータに侵入します。

• PE_CAOLYWA.A

インストール

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %Windows%\Tasks\0x01xx8p.exe

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

ウイルスは、以下のファイルを作成します。

• {drive letter}:\MSDOS.bat
• c:\zzz.sys

ウイルスは、以下の無害なファイルを作成します。

• %Windows%\Tasks\explorer.ext (backup of explorer.exe)
• %Windows%\Tasks\SysFile.brk (backup of explorer.exe)

(註：%Windows%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows9x、Me、XP、Server 2003の場合、"C:\Window"、WindowsNT および 2000の場合、"C:\WINNT" です。)

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• .exe
• .cmd
• .bat
• .com
• .scr

ウイルスは、標的とするホストファイルの末尾に自身のコードを追記することにより感染活動を実行します。

ウイルスは、上記のファイルにコードを挿入し、以下の拡張子を持つファイルに感染します。

• .do
• .htm
• .html
• .shtm
• .shtml
• .asp
• .aspx
• .php
• .jsp
• .cgi
• .xml
• .GHO

ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

ウイルスは、以下の文字列を含むフォルダには感染しません。

• Program Files

ウイルスは、以下のファイルには感染しません。

• qq.exe
• QQDoctor.exe
• QQDoctorMain.exe

感染活動

ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
open=MSDOS.bat
shell\open={characters}
shell\open\Command=MSDOS.bat
shell\open\Default=1
shell\explore={characters}
shell\explore\Command=MSDOS.bat

バックドア活動

ウイルスは、不正リモートユーザからの以下のコマンドを実行します。

• Visit URL(s)
• Download and execute files
• Infect files
• Spread via removable drives

プロセスの終了

ウイルスは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• avp.exe
• kvsrvxp.exe
• kissvc.exe

ダウンロード活動

ウイルスは、以下のファイル名でダウンロードしたファイルを保存します。

• %System%\windows.txt

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

情報漏えい

ウイルスは、以下のWebサイトにアクセスし、自身の環境設定ファイルをダウンロードします。

• http://c.{BLOCKED}m.com/config.txt