PE_GWAPOMI.A-O

ウイルスは、リムーバブルドライブを介してコンピュータに侵入します。 ウイルスは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。 ウイルスは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

ウイルスは、標的とするホストファイルの末尾に自身のコードを追記することにより感染活動を実行します。

ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

ただし、情報公開日現在、このWebサイトにはアクセスできません。

侵入方法

ウイルスは、リムーバブルドライブを介してコンピュータに侵入します。

ウイルスは、ネットワーク共有フォルダを経由してコンピュータに侵入します。

ウイルスは、リモートサイトから他のマルウェア、グレイウェアまたはスパイウェアにダウンロードされ、コンピュータに侵入します。

ウイルスは、悪意あるWebサイトからユーザが誤ってダウンロードすることにより、コンピュータに侵入します。

インストール

ウイルスは、以下のコンポーネントファイルを作成します。

• %System%\{random characters}.sys - detected as RTKT_WAPOMI.A, rootkit component used by this file infector to hide its files, registry entries, and processes
• %System Root%\Documents and Settings\Infotmp.txt
• %System Root%\Users\Infotmp.txt

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。. %System Root%は、標準設定では "C:" です。また、オペレーティングシステムが存在する場所です。)

ウイルスは、感染したコンピュータ内に以下のように自身のコピーを作成します。

• %System%\{random numbers}.tmp

(註：%System%はWindowsの種類とインストール時の設定などにより異なります。標準設定では、Windows 98 および MEの場合、"C:\Windows\System"、Windows NT および 2000 の場合、"C:\WinNT\System32"、Windows XP および Server 2003 の場合、"C:\Windows\System32" です。)

他のシステム変更

ウイルスは、以下のレジストリキーを削除します。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Minimal

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\SafeBoot\Network

ファイル感染

ウイルスは、以下の形式のファイルに感染します。

• .EXE

ウイルスは、標的とするホストファイルの末尾に自身のコードを追記することにより感染活動を実行します。

ウイルスは、以下の文字列を含むフォルダには感染しません。

• Thunder Network
• Thunder
• WinRAR
• WindowsUpdate
• Windows NT
• Windows Media Player
• Outlook Express
• NetMeeting
• MSN Gaming Zone
• Movie Maker
• Microsoft Frontpage
• Messenger
• Internet Explorer
• InstallShield Installation Information
• ComPlus Applications
• Common Files
• RECYCLER
• System Volume Information
• Documents and Settings
• WinNT
• Windows

感染活動

ウイルスは、すべてのリムーバブルドライブ内に以下のフォルダを作成します。

• {drive letter}:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}

ウイルスは、すべてのリムーバブルドライブ内に以下として自身のコピーを作成します。

• {drive letter}:\recycle.{645FF040-5081-101B-9F08-00AA002F954E}\uninstall.exe

ウイルスは、ユーザが感染コンピュータ上のドライブへアクセスすると自身のコピーが自動実行するように、"AUTORUN.INF" を作成します。

上記INFファイルには、以下の文字列が含まれています。

[AutoRun]
OPEN=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\uninstall.exe
shell\open={random characters}
shell\open\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\uninstall.exe Show
shell\open\Default=1
shell\explore={random characters}
shell\explore\Command=recycle.{645FF040-5081-101B-9F08-00AA002F954E}\uninstall.exe Show

プロセスの終了

ウイルスは、感染コンピュータ上で以下のプロセスが常駐されていることを確認した場合、そのプロセスを終了します。

• RavMonD.exe
• 360tray.exe
• MPSVC.exe

ダウンロード活動

ただし、情報公開日現在、このWebサイトにはアクセスできません。

その他

ウイルスは、以下のWebサイトにアクセスしてインターネット接続を確認します。

• www.baidu.com

ウイルスは、以下のWebサイトにアクセスして感染コンピュータのIPアドレスを収集します。

• http://vbnet.{BLOCKED}ps.org/resources/tools/getpublicip.shtml

ウイルスは、以下のWebサイトにアクセスして不正なファイルをダウンロードします。

• http://{BLOCKED}.{BLOCKED}.63.57/msdownload/update/v5/redir/wuredirts.rar