PE_EXPIRO.AC

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、対象とするファイルのエントリポイントで確認したコードを上書きします。そして、その対象とするファイルにウイルス本体を追記します。なお、ウイルスが上書きしたコードは、ウイルス本体に保存されます。 ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

ウイルスは、特定のWebサイトにアクセスし、情報を送受信します。

ウイルスは、Internet Explorer（IE）のセキュリティ設定を変更します。これにより、ウイルスは、悪意のあるWebサイトへのアクセスが可能になり、感染コンピュータはさらなる脅威にさらされることとなります。 ウイルスは、Internet Explorer（IE）のゾーン設定を変更します。

ウイルスは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

ウイルスは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のファイルを作成します。

• %Application Data%\{Volume serial of system folder}{number}.nls - non-malicious

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• kkq-vx-mtx{number}

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• .EXE

ウイルスが感染活動する際、ネットワーク共有フォルダ内の以下のファイル形式のファイルに感染します。

• .EXE

ウイルスは、対象とするファイルのエントリポイントで確認したコードを上書きします。そして、その対象とするファイルにウイルス本体を追記します。なお、ウイルスが上書きしたコードは、ウイルス本体に保存されます。

ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

感染活動

ウイルスは、ネットワーク共有フォルダ内の以下のファイルタイプのファイルに感染し、ネットワークを介して感染活動をします。

• .EXE

バックドア活動

ウイルスは、以下のポートを開きます。

• TCP Port 2000
• TCP Port 2068

ウイルスは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}vsah-ebe.com
• {BLOCKED}u-liwup.org
• {BLOCKED}robybi.ru
• {BLOCKED}wi-uhexy.ru
• {BLOCKED}dyjemi.in
• {BLOCKED}urtepbiwa.org
• {BLOCKED}ajjebyto.com
• {BLOCKED}-oxona.biz
• {BLOCKED}hediso.cc
• {BLOCKED}jesi-ifo.ws
• {BLOCKED}u-uwy.cc
• {BLOCKED}fnikuxy.ru
• {BLOCKED}emyzy.cc
• {BLOCKED}ahezy.ru
• {BLOCKED}oxanvy.org
• {BLOCKED}syxuvnok.cc
• {BLOCKED}de-mu.org
• {BLOCKED}nuqivetac.ru
• {BLOCKED}nnitcyli.ru
• {BLOCKED}eveqefuc.com
• {BLOCKED}i-eji.ws
• {BLOCKED}arlu-woqhab.net

Webブラウザのホームページおよび検索ページの変更

ウイルスは、IEのゾーン設定を変更します。

ウイルスは、IEのゾーン設定を変更します。

情報漏えい

ウイルスは、以下の情報を収集します。

• Windows Product ID
• Drive Volume Serial Number
• OS Version
• User credentials
• Information from Filezilla

情報収集

ウイルスは、以下のファイル内に収集した情報を保存します。

• %Application Data%\kf{random number}z32.dl
• %Application Data%\dfl{random number}z32.dll
• %Application Data%\wsr{random number}zt32.dll

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)