PE_EXPIRO.MKI

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、エントリポイントのコードを上書きして、ウイルス本体に上書きしたコードを保存することにより感染活動を実行します。そして、ウイルスは、ホストファイルにウイルス本体を追記してファイル感染します。

ウイルスは、特定のWebサイトにアクセスし、情報を送受信します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のファイルを作成します。

• %Application Data%\wsr{two random numbers}zt{two random numbers}.dll

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• kkq-vx-mtx{number}
• gazavat-svc

ファイル感染

ウイルスは、エントリポイントのコードを上書きして、ウイルス本体に上書きしたコードを保存することにより感染活動を実行します。そして、ウイルスは、ホストファイルにウイルス本体を追記してファイル感染します。

バックドア活動

ウイルスは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}vrc-usb10bitz.com
• {BLOCKED}o-pestarz.ru
• {BLOCKED}ational-spcsz.ru
• {BLOCKED}axxlubz.ru
• {BLOCKED}vrc-usb10bitz.com
• {BLOCKED}vvz.net
• {BLOCKED}-ydyg.ru
• {BLOCKED}bugin.com
• {BLOCKED}bikav.com
• {BLOCKED}boneb.com
• {BLOCKED}-aquh.ru
• {BLOCKED}betop.com
• {BLOCKED}.{BLOCKED}.19.33
• www.{BLOCKED}-locmocz.ws
• www.{BLOCKED}ckshopsz.ru
• {BLOCKED}ckshopsz.ru
• {BLOCKED}ashingz.cc

ダウンロード活動

ただし、情報公開日現在、このWebサイトにはアクセスできません。