PE_EXPIRO.ZZ

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、対象とするファイルのエントリポイントで確認したコードを上書きします。そして、その対象とするファイルにウイルス本体を追記します。なお、ウイルスが上書きしたコードは、ウイルス本体に保存されます。 ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

ウイルスは、特定のWebサイトにアクセスし、情報を送受信します。

ウイルスは、Internet Explorer（IE）のゾーン設定を変更します。

ウイルスは、感染コンピュータや感染ユーザから特定の情報を収集します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、以下のファイルを作成します。

• %Application Data%\{Volume serial of system folder}{number}.nls - non-malicious

(註：%Application Data%フォルダは、Windows 2000、XP および Server 2003 の場合、通常 "C:\Documents and Settings\＜ユーザ名＞\Local Settings\Application Data"、Windows Vista および 7 の場合、"C:\Users\＜ユーザ名＞\AppData\Roaming" です。)

ウイルスは、以下の Mutex を作成し、メモリ上で自身の重複実行を避けます。

• kkq-vx-mtx{number}

他のシステム変更

ウイルスは、インストールの過程で、以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\0
2103 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\1
2103 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\2
2103 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\3
2103 = "0"

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Internet Settings\
Zones\4
2103 = "0"

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• .EXE

ウイルスは、対象とするファイルのエントリポイントで確認したコードを上書きします。そして、その対象とするファイルにウイルス本体を追記します。なお、ウイルスが上書きしたコードは、ウイルス本体に保存されます。

ウイルスは、感染ファイル内に「infection marker（感染したことを示す印）」を作成します。

感染活動

ウイルスは、ネットワーク共有フォルダ内の以下のファイルタイプのファイルに感染し、ネットワークを介して感染活動をします。

• .EXE

バックドア活動

ウイルスは、以下のポートを開きます。

• TCP Port 11084
• TCP Port 8181

ウイルスは、以下のWebサイトにアクセスし、情報を送受信します。

• http://{BLOCKED}ational-ventur.ru
• http://{BLOCKED}e.2288.org
• http://{BLOCKED}s-locmoczu.ws

Webブラウザのホームページおよび検索ページの変更

ウイルスは、IEのゾーン設定を変更します。

情報漏えい

ウイルスは、以下の情報を収集します。

• Windows Product ID
• Drive Volume Serial Number
• OS Version
• User credentials
• Information from Filezilla