PE_FINALDO.F

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

ウイルスは、特定のレジストリ値を変更し、ファイルの拡張子を非表示にします。

ウイルスは、特定のWebサイトにアクセスし、情報を送受信します。

侵入方法

ウイルスは、他のマルウェアに作成されるか、悪意あるWebサイトからユーザが誤ってダウンロードすることによりコンピュータに侵入します。

インストール

ウイルスは、感染したコンピュータ内に以下として自身のコピーを作成し、実行します。

• %All Users%\ySEQEUYY\ziAIcUgo.exe
• %User Profile%\zkkQYoAw\diwkwIQA.exe

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

ウイルスは、以下のファイルを作成します。

• %All Users%\ySEQEUYY\ziAIcUgo
• %All Users%\ySEQEUYY\ziAIcUgo.inf
• %User Profile%\zkkQYoAw\diwkwIQA
• %User Profile%\zkkQYoAw\diwkwIQA.inf
• %User Temp%\file.vbs
• %User Temp%\{random}.bat
• %System%\shell32.dll.exe - infected %System%\shell32.dll

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.. %User Temp%フォルダは、ユーザの一時フォルダで、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザー名＞\Local Settings\Temp"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞\AppData\Local\Temp" です。.. %System%フォルダは、システムフォルダで、いずれのオペレーティングシステム(OS)でも通常、"C:\Windows\System32" です。.)

ウイルスは、以下のフォルダを作成します。

• %All Users%\ySEQEUYY
• %User Profile%\zkkQYoAw

(註：%User Profile% フォルダは、Windows 2000、XP および Server 2003 の場合、通常、"C:\Documents and Settings\＜ユーザ名＞"、Windows Vista 、 7 、8、8.1 、Server 2008 および Server 2012の場合、"C:\Users\＜ユーザ名＞" です。.)

自動実行方法

ウイルスは、自身のコピーがWindows起動時に自動実行されるよう以下のレジストリ値を追加します。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Run
diwkwIQA.exe = %User Profile%\zkkQYoAw\diwkwIQA.exe

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\
Windows\CurrentVersion\Run
ziAIcUgo.exe = %All User%\ySEQEUYY\ziAIcUgo.exe

他のシステム変更

ウイルスは、以下のレジストリ値を変更し、隠しファイル属性のファイルを非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
Hidden = 2

(註：変更前の上記レジストリ値は、「1」となります。)

ウイルスは、以下のレジストリ値を変更し、ファイルの拡張子を非表示にします。

HKEY_CURRENT_USER\Software\Microsoft\
Windows\CurrentVersion\Explorer\
Advanced
HideFileExt = 1

(註：変更前の上記レジストリ値は、「0」となります。)

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• program files (.exe)
• image files (.jpg, .bmp, .png, .gif, etc.)

ウイルスが感染活動する際、ネットワーク共有フォルダ内の以下のファイル形式のファイルに感染します。

• program files (.exe)

バックドア活動

ウイルスは、以下のWebサイトにアクセスし、情報を送受信します。

• {BLOCKED}.{BLOCKED}.204.12:9999
• {BLOCKED}.{BLOCKED}.164.69:9999
• {BLOCKED}.{BLOCKED}.45.170:9999